Terraform动态注入Vault KV2密钥至Cloud Run环境变量问题

问题场景 #

通过Terraform从Vault读取KV2密钥，使用google_cloud_run_service资源创建Cloud Run服务时，希望批量将Vault中的所有密钥注入为环境变量，替代逐个声明env块的繁琐方式。

当前可正常运行的简化代码：

data "vault_kv_secret_v2" "cloudrun_platform_api_env" {
  mount = "kv"
  name  = "path/to/platform-api"
}

resource "google_cloud_run_service" "platform_api" {
  template {
    spec {
      containers {
        env {
          name  = "VAR1"
          value = data.vault_kv_secret_v2.cloudrun_platform_api_env.data["VAR1"]
        }
        env {
          name  = "VAR2"
          value = data.vault_kv_secret_v2.cloudrun_platform_api_env.data["VAR2"]
        }
        env {
          name  = "VAR3"
          value = data.vault_kv_secret_v2.cloudrun_platform_api_env.data["VAR3"]
        }
      }
    }
  }
}

尝试的方案及报错 #

使用dynamic块+for_each批量生成env块，但执行terraform plan失败：

尝试的代码：

dynamic "env" {
  for_each = data.vault_kv_secret_v2.platform_api_env.data
  content {
    name  = env.key
    value = env.value
  }
}

报错信息：

Planning failed. Terraform encountered an error while generating this plan.

╷
│ Error: Invalid dynamic for_each value
│ 
│   on cloudrun-platform-api.tf line 30, in resource "google_cloud_run_service" "platform_api":
│   30:           for_each = data.vault_kv_secret_v2.platform_api_env.data
│ 
│ Cannot use a map of string value in for_each. An iterable collection is required.
╵

错误原因分析 #

1. 数据块引用名称错误：初始定义的Vault数据块名称为cloudrun_platform_api_env，但尝试代码中误写为platform_api_env，导致引用的资源不存在。
2. 集合类型不兼容：部分旧版本Terraform中，dynamic块的for_each仅接受set或list类型集合，无法直接使用map类型。

正确解决方案 #

方案一：直接遍历Map（适用于Terraform 0.13+） #

修正数据块引用名称后，直接使用Vault返回的data map作为for_each的迭代对象：

dynamic "env" {
  for_each = data.vault_kv_secret_v2.cloudrun_platform_api_env.data
  content {
    name  = env.key
    value = env.value
  }
}

方案二：转换为Set兼容旧版本 #

将Map的键转换为set类型，通过键获取对应值，兼容更多Terraform版本：

dynamic "env" {
  for_each = toset(keys(data.vault_kv_secret_v2.cloudrun_platform_api_env.data))
  content {
    name  = env.value
    value = data.vault_kv_secret_v2.cloudrun_platform_api_env.data[env.value]
  }
}

注意事项 #

• 确保Vault返回的data字段是字符串类型的Map，若包含非字符串值，需提前用tostring()函数进行类型转换。
• 若Vault中的密钥名称包含特殊字符，需确保符合Cloud Run环境变量命名规则（仅允许字母、数字、下划线，且以字母开头）。

内容的提问来源于stack exchange，提问作者webcitron