跨多AWS账户确保EC2主机名全局唯一的实现方案咨询

针对10+ OU、100+ AWS账户的场景，结合Terraform部署，以下是几种可行的主机名全局唯一性校验与保障方案：

方案1：集中式注册表+Terraform前置校验 #

核心思路 #

搭建一个全局的主机名注册表，Terraform部署EC2实例前先校验目标主机名是否已存在，存在则终止部署，不存在则写入注册表。

具体实现 #

• 注册表选型：使用AWS DynamoDB全局表（跨区域同步），表结构只需包含hostname（主键）、account_id、instance_id、ou_id等字段，用于记录已使用的主机名归属信息。
• Terraform代码逻辑：
  1. 定义待使用的主机名（建议遵循统一规范，比如app-env-region-account-suffix，从命名层面降低冲突概率）。
  2. 通过aws_dynamodb_table_item资源尝试写入注册表，利用DynamoDB的条件表达式确保仅当主机名不存在时才写入：

     resource "aws_dynamodb_table_item" "ec2_hostname_registry" {
       table_name = "global-ec2-hostnames"
       hash_key   = "hostname"
     
       item = jsonencode({
         hostname    = var.ec2_hostname
         account_id  = data.aws_caller_identity.current.account_id
         instance_id = aws_instance.app.id
         ou_id       = var.ou_id
       })
     
       # 条件：主机名不存在时才允许写入
       condition_expression = "attribute_not_exists(hostname)"
     }
     

  3. 配置IAM权限：确保各账户的Terraform执行角色拥有该DynamoDB表的PutItem和GetItem权限（通过跨账户IAM信任策略实现）。

方案2：利用SSM参数Store实现唯一性校验 #

核心思路 #

借助AWS Systems Manager Parameter Store的overwrite=false特性，将主机名作为参数路径存储，重复创建会直接报错，以此实现校验。

具体实现 #

• 参数路径规范：使用统一的参数路径前缀，比如/global/ec2-hostnames/${var.ec2_hostname}。
• Terraform代码：

  resource "aws_ssm_parameter" "ec2_hostname" {
    name        = "/global/ec2-hostnames/${var.ec2_hostname}"
    type        = "String"
    value       = aws_instance.app.id
    overwrite   = false # 禁止覆盖，重复创建会失败
  
    tags = {
      AccountID = data.aws_caller_identity.current.account_id
      OUID      = var.ou_id
    }
  }
  

• 优势：无需额外维护数据库，SSM是托管服务，权限配置简单，可通过IAM策略限制仅允许Terraform角色创建参数。

方案3：Terraform远程状态跨账户查询校验 #

核心思路 #

如果使用Terraform Cloud或S3作为远程状态存储，配置跨账户状态读取权限，在部署时查询所有（或分组）账户的Terraform状态，提取已存在的主机名并做本地校验。

具体实现 #

• 配置跨账户状态访问：在S3远程状态桶上配置Bucket Policy，允许其他账户的Terraform角色读取状态文件；如果用Terraform Cloud，配置团队访问权限。
• Terraform代码逻辑：
  1. 通过terraform_remote_state数据源读取目标OU下所有账户的状态文件。
  2. 提取所有EC2实例的主机名，用contains函数检查待部署主机名是否已存在：

     data "terraform_remote_state" "account_1" {
       backend = "s3"
       config = {
         bucket = "tf-state-account-1"
         key    = "app/terraform.tfstate"
         region = "us-east-1"
       }
     }
     
     # 重复定义多个账户的state数据源，或用for_each遍历OU内账户
     locals {
       existing_hostnames = concat(
         data.terraform_remote_state.account_1.outputs.ec2_hostnames,
         data.terraform_remote_state.account_2.outputs.ec2_hostnames
       )
     }
     
     # 校验逻辑：如果主机名已存在，抛出错误
     resource "null_resource" "hostname_check" {
       provisioner "local-exec" {
         command = <<EOT
           if echo "${join("\n", local.existing_hostnames)}" | grep -q "^${var.ec2_hostname}$"; then
             echo "Hostname ${var.ec2_hostname} already exists"
             exit 1
           fi
         EOT
       }
     }
     
     # 依赖校验资源，确保先校验再创建实例
     resource "aws_instance" "app" {
       depends_on = [null_resource.hostname_check]
       # 实例配置...
     }
     

• 注意：100+账户场景下，逐个读取状态会导致性能下降，建议按OU分组查询，或仅校验同应用、同环境的主机名范围。

方案4：AWS Config事后合规校验（补充方案） #

核心思路 #

以上方案都是前置阻止，此方案作为补充，通过AWS Config自定义规则定期扫描所有账户的EC2实例，发现重复主机名则触发告警。

具体实现 #

• 创建Config自定义规则：编写Lambda函数作为规则执行逻辑，遍历所有关联账户的EC2实例，提取主机名（可通过实例标签或private-dns-name字段），对比集中存储的主机名列表，发现重复则标记为非合规。
• 配置跨账户Config聚合：将所有账户的Config数据聚合到一个主账户，统一管理合规状态。

关键注意事项 #

• 强制命名规范：从根源减少冲突，比如主机名必须包含应用缩写-环境-账户ID后4位-实例ID后4位，确保天然具备唯一性基础。
• 存量实例初始化：先扫描所有存量EC2实例的主机名，批量导入到集中注册表（DynamoDB/SSM），避免新部署时误判。
• 权限最小化：确保Terraform执行角色仅拥有完成校验和部署所需的最小权限，避免过度授权。

内容的提问来源于stack exchange，提问作者GrauDiamand