如何在Terraform中生成密码输出到文件，且避免密码留存状态文件？

1. 避免密码存入Terraform State #

你当前用的random_password资源会把密码明文存在state文件里，哪怕标记敏感也只是隐藏输出，没法彻底移除。要绕开这个问题，直接用本地命令生成密码并写入文件，不通过Terraform资源存储：

resource "null_resource" "generate_password" {
  triggers = {
    # 只有第一次运行或手动触发时生成密码
    run_once = timestamp()
  }

  provisioner "local-exec" {
    command = <<EOT
      # 生成符合要求的16位随机密码，包含指定特殊字符
      openssl rand -base64 12 | tr -dc 'a-zA-Z0-9!#$%&*()-_=+[]{}<>?:?' | head -c 16 > ./generated_password.txt
      # 限制文件权限，仅当前用户可读
      chmod 600 ./generated_password.txt
    EOT
  }
}

用openssl生成随机字符串后，过滤出你需要的字符集并截取16位，写入文件后设置严格权限，避免其他用户读取。null_resource的triggers确保密码只生成一次，除非你手动触发更新。

2. 密码文件的安全销毁 #

要在销毁资源时自动删除密码文件，给null_resource添加销毁阶段的provisioner：

resource "null_resource" "generate_password" {
  triggers = {
    run_once = timestamp()
  }

  provisioner "local-exec" {
    command = <<EOT
      openssl rand -base64 12 | tr -dc 'a-zA-Z0-9!#$%&*()-_=+[]{}<>?:?' | head -c 16 > ./generated_password.txt
      chmod 600 ./generated_password.txt
    EOT
  }

  # 销毁时删除密码文件
  provisioner "local-exec" {
    when    = destroy
    command = "shred -u ./generated_password.txt"
  }
}

执行terraform destroy时，这个provisioner会自动用shred安全删除文件（相比rm，shred会覆盖文件内容，彻底清除痕迹）。

3. 用密码部署资源 #

如果需要把这个密码传给其他资源（比如数据库实例），可以用file()函数读取文件内容，同时标记为敏感数据避免输出：

resource "aws_db_instance" "example" {
  # 其他配置项...
  password = sensitive(file("./generated_password.txt"))
}

这样Terraform只会记录文件路径相关信息，不会在state里存储密码明文（注意：目标服务可能会留存密码，这部分需要配合对应服务的销毁机制彻底清除）。

额外注意事项 #

• 确保执行环境中装有openssl，如果没有可以换用pwgen等工具，调整生成命令即可。
• Terraform的state文件里只会记录null_resource的触发条件和provisioner执行记录，不会留存密码明文。

内容的提问来源于stack exchange，提问作者Red Bottle