迁移至Terraform 1.0.3后aws_iam_access_key返回空Secret Key求助

核心原因 #

aws_iam_access_key的secret属性存在特殊限制：

• 仅在资源首次创建时返回有效值，Terraform不会将该值持久化到状态文件
• 在terraform plan阶段，若资源尚未创建（或状态中无该值记录），secret会返回空字符串
• 即使资源已存在，Terraform也不会从AWS重新获取secret（AWS本身也不会再次返回已生成的密钥）

你的脚本在plan阶段就尝试读取secret，触发了空值检查失败。

解决方案 #

方案1：调整执行时机，仅在资源创建后处理密钥 #

修改模块逻辑，将密钥处理移到资源创建完成后执行。推荐使用local-exec provisioner替代external数据源：

resource "aws_iam_access_key" "iam_keys" {
  user = aws_iam_user.iam_user.name
}

resource "null_resource" "process_credentials" {
  depends_on = [aws_iam_access_key.iam_keys]

  provisioner "local-exec" {
    command = "${path.module}/credentials.sh '${aws_iam_access_key.iam_keys.id}' '${aws_iam_access_key.iam_keys.secret}'"
  }
}

同时修改脚本，直接接收命令行参数：

#!/bin/bash
set -eux

ACCESS_KEY="$1"
SECRET_KEY="$2"

if [[ -z "${ACCESS_KEY}" ]]; then echo "ACCESS_KEY was null. Check resource aws_iam_access_key,Terraform will fail now!" && exit 1; fi
if [[ -z "${SECRET_KEY}" ]]; then echo "SECRET_KEY was null. Check resource aws_iam_access_key,Terraform will fail now!" && exit 1; fi

# 后续处理逻辑...

方案2：跳过plan阶段的空值检查 #

如果必须保留external数据源结构，可在脚本中判断Terraform执行命令，仅在apply阶段做严格检查：

#!/bin/bash
set -eux

function parse_input() {
  eval "$(jq -r '@sh "export ACCESS_KEY=\(.access_key) SECRET_KEY=\(.secret_key)"')"
  
  # 仅在apply阶段检查空值
  if [[ "${TF_COMMAND}" == "apply" ]]; then
    if [[ -z "${ACCESS_KEY}" ]]; then echo "ACCESS_KEY was null. Check resource aws_iam_access_key,Terraform will fail now!" && exit 1; fi
    if [[ -z "${SECRET_KEY}" ]]; then echo "SECRET_KEY was null. Check resource aws_iam_access_key,Terraform will fail now!" && exit 1; fi
  fi
}

parse_input

Terraform执行时会自动设置TF_COMMAND环境变量，值为plan或apply。

补充说明 #

• 禁止将IAM密钥的secret存储到版本控制或状态文件中
• 若需后续使用密钥，建议在创建时通过provisioner同步到安全存储（如AWS Secrets Manager），而非依赖Terraform状态

内容的提问来源于stack exchange，提问作者user6826691