如何在Terraform中高效管理Lambda Layers，无需多次执行？

我将Terraform代码存储在Git中，配置包含aws_lambda_layer_version资源。不想保留层的.zip文件，因此尝试通过requirements.txt记录Lambda层的Python依赖，当文件变更时创建新层版本，代码如下：

resource "null_resource" "layer_file" {
 
  triggers = {
    value = filebase64sha256("${path.root}/layer/requirements.txt")
  }
 
  provisioner "local-exec" {
    command = <<EOT
        mkdir python
        pip install -r layer/requirements.txt --target ./python
        zip -r layer/layer.zip python/
    EOT
  }
}
 
resource "aws_lambda_layer_version" "python_requests" {
  filename   = "${path.root}/layer/layer.zip"
  layer_name = "BackupDeps"
 
  compatible_runtimes = ["python3.10"]
 
  source_code_hash = filebase64sha256("${path.root}/layer/layer.zip")
  depends_on = [null_resource.layer_file]
}

但该方案存在问题：需要执行两次Terraform命令才生效。第一次执行时，requirements.txt变更触发null_resource，但此时layer.zip尚未更新，aws_lambda_layer_version不会变更；第二次执行时，Terraform检测到layer.zip变化，才会触发资源更新。以下是几种更优的管理方案：

方案一：使用archive_file数据源生成层包 #

这种方式能在Terraform规划阶段就基于依赖文件生成哈希，避免两次执行的问题，同时无需手动管理zip文件。

完整配置示例：

# 安装依赖到临时目录
resource "null_resource" "install_deps" {
  triggers = {
    requirements_hash = filebase64sha256("${path.root}/layer/requirements.txt")
  }

  provisioner "local-exec" {
    command = <<EOT
      rm -rf ./layer/python
      mkdir -p ./layer/python
      pip install -r ${path.root}/layer/requirements.txt --target ./layer/python --no-user
    EOT
  }
}

# 用archive_file生成zip包并计算哈希
data "archive_file" "lambda_layer" {
  type        = "zip"
  source_dir  = "${path.root}/layer/python"
  output_path = "${path.root}/layer/layer.zip"

  depends_on = [null_resource.install_deps]
}

# 创建Lambda层
resource "aws_lambda_layer_version" "python_requests" {
  layer_name          = "BackupDeps"
  filename            = data.archive_file.lambda_layer.output_path
  compatible_runtimes = ["python3.10"]
  source_code_hash    = data.archive_file.lambda_layer.output_base64sha256

  depends_on = [data.archive_file.lambda_layer]
}

优势：

• archive_file会在规划阶段计算zip包的哈希值，当requirements.txt变更时，null_resource触发依赖安装，archive_file会重新生成zip并更新哈希，aws_lambda_layer_version在第一次执行时就能检测到变化并创建新版本。
• 无需手动处理zip生成逻辑，Terraform自动管理。

方案二：直接关联requirements.txt哈希到层的source_code_hash #

跳过对layer.zip哈希的检测，直接用requirements.txt的哈希作为层的版本标识，确保依赖变更时直接触发层更新。

配置示例：

resource "null_resource" "layer_file" {
  triggers = {
    value = filebase64sha256("${path.root}/layer/requirements.txt")
  }

  provisioner "local-exec" {
    command = <<EOT
        rm -rf python layer/layer.zip
        mkdir python
        pip install -r layer/requirements.txt --target ./python
        zip -r layer/layer.zip python/
    EOT
  }
}

resource "aws_lambda_layer_version" "python_requests" {
  filename            = "${path.root}/layer/layer.zip"
  layer_name          = "BackupDeps"
  compatible_runtimes = ["python3.10"]
  # 使用requirements.txt的哈希作为层的版本标识
  source_code_hash    = null_resource.layer_file.triggers.value

  depends_on = [null_resource.layer_file]
}

优势：

• 逻辑简单，只要requirements.txt变更，Terraform第一次执行就会识别到需要创建新层版本，无需二次执行。
• 不需要额外数据源，代码改动小。

方案三：封装成Terraform模块复用逻辑 #

将Lambda层的依赖安装、zip生成、层创建逻辑封装成模块，提升代码复用性，简化上层配置。

模块示例（modules/lambda-layer/main.tf） #

variable "requirements_path" {
  type = string
}

variable "layer_name" {
  type = string
}

variable "compatible_runtimes" {
  type = list(string)
}

resource "null_resource" "install_deps" {
  triggers = {
    requirements_hash = filebase64sha256(var.requirements_path)
  }

  provisioner "local-exec" {
    command = <<EOT
      rm -rf ${path.module}/python
      mkdir -p ${path.module}/python
      pip install -r ${var.requirements_path} --target ${path.module}/python --no-user
    EOT
  }
}

data "archive_file" "lambda_layer" {
  type        = "zip"
  source_dir  = "${path.module}/python"
  output_path = "${path.module}/layer.zip"

  depends_on = [null_resource.install_deps]
}

resource "aws_lambda_layer_version" "layer" {
  layer_name          = var.layer_name
  filename            = data.archive_file.lambda_layer.output_path
  compatible_runtimes = var.compatible_runtimes
  source_code_hash    = data.archive_file.lambda_layer.output_base64sha256

  depends_on = [data.archive_file.lambda_layer]
}

output "layer_arn" {
  value = aws_lambda_layer_version.layer.arn
}

使用模块 #

module "lambda_backup_deps" {
  source              = "./modules/lambda-layer"
  requirements_path   = "${path.root}/layer/requirements.txt"
  layer_name          = "BackupDeps"
  compatible_runtimes = ["python3.10"]
}

优势：

• 代码复用，多个Lambda层可共用同一模块。
• 内部逻辑封装，上层配置更简洁。

额外建议 #

• 在.gitignore中添加layer/layer.zip和python/目录，避免将生成文件提交到Git。
• 使用pip install时添加--no-user参数，避免安装用户目录下的依赖，保证层的纯净性。
• 可使用pipenv或poetry管理依赖，确保版本一致性后导出requirements.txt给Terraform使用。

内容的提问来源于stack exchange，提问作者YoavKlein