Terraform合并敏感数据映射遇for_each报错，寻求更优敏感数据处理方案

Terraform禁止敏感值用于for_each的核心原因是：for_each的迭代键会作为资源实例ID的一部分，被明文记录在状态文件、执行日志中，若使用敏感值会导致数据泄露。直接用nonsensitive会完全解除对敏感内容的保护，风险极高，更合理的处理方式是拆分非敏感的迭代键和敏感的键值对。

步骤1：重构第二个模块的变量定义 #

将原有的单一secrets变量拆分为两个变量：一个用于存储非敏感的迭代键，另一个存储敏感的秘密值：

# second_module/variables.tf
variable "secret_keys" {
  type        = set(string)
  description = "非敏感的秘密键集合，用于for_each迭代"
}

variable "secret_values" {
  type        = map(any)
  description = "敏感的秘密值映射，键与secret_keys对应"
  sensitive   = true
}

在模块内部使用时，用secret_keys做for_each，通过键从secret_values中获取敏感值：

# second_module/main.tf
resource "your_resource_type" "example" {
  for_each = var.secret_keys

  # 非敏感的键可安全作为资源属性或实例标识
  identifier = each.key
  # 敏感值仅在需要的地方引用，保持敏感状态
  secret_data = var.secret_values[each.key]
}

步骤2：根模块中传递参数 #

在根模块中，提取合并后映射的键作为非敏感参数，合并后的完整映射作为敏感参数传递：

module "second_module" {
  # 提取映射的键（非敏感），转为集合用于for_each
  secret_keys   = toset(keys(merge(module.first_module.my_secrets, {
    "something_else" = { value = "test" }
  })))
  # 合并后的完整映射保持敏感状态
  secret_values = merge(module.first_module.my_secrets, {
    "something_else" = { value = "test" }
  })
}

关键注意事项 #

• 确保secret_keys中的键本身不包含敏感信息：如果你的映射键是敏感数据（比如用户名），这种方案不适用，需要重新设计标识符（比如用非敏感的别名作为键）。
• 避免滥用nonsensitive：该函数会移除整个值的敏感标记，导致内部的敏感字段（如password）暴露在状态文件和日志中，仅在完全确认无安全风险时使用。

内容的提问来源于stack exchange，提问作者Ashley Eke