如何通过Terraform实现同AWS账号内跨多区域复制AMI

要实现同账号下将指定AMI复制到多个目标区域，需调整Terraform配置，核心是为每个目标区域配置独立的AWS Provider实例，并遍历AMI+目标区域的组合执行复制操作。基于AWS Provider 4.51.0的具体修改如下：

1. 定义目标区域变量 #

添加变量声明需要复制到的目标区域列表：

variable "target_regions" {
  type        = list(string)
  description = "同账号下需复制AMI的目标区域列表"
  default     = ["us-west-2", "eu-west-1", "ap-southeast-1"] // 可按需修改示例区域
}

2. 配置多区域AWS Provider #

为每个目标区域创建Provider别名，确保Terraform能在对应区域执行资源操作：

# 默认Provider（对应源AMI所在区域）
provider "aws" {
  region = data.aws_region.current.name
}

# 为每个目标区域配置独立Provider实例
provider "aws" {
  for_each = toset(var.target_regions)
  alias    = each.key
  region   = each.key
}

3. 调整主模块的遍历逻辑 #

原代码仅遍历AMI，需改为遍历AMI与目标区域的笛卡尔积，确保每个AMI都复制到所有目标区域：

data "aws_region" "current" {}

data "aws_ami_ids" "eks_ami_id" {
  owners = ["12345"]

  filter {
    name   = "name"
    values = ["node-*"]
  }
}

data "aws_ami" "eks_ami" {
  for_each = toset(data.aws_ami_ids.eks_ami_id.ids)
  filter {
    name   = "image-id"
    values = [each.key]
  }
  owners = ["12345"] // 原代码此处为空，需补充与上方一致的所有者账号ID
}

# 生成AMI与目标区域的组合集合
locals {
  ami_region_combinations = merge([
    for ami_id in data.aws_ami_ids.eks_ami_id.ids : {
      for region in var.target_regions : "${ami_id}-${region}" => {
        ami_id   = ami_id
        region   = region
        ami_name = data.aws_ami.eks_ami[ami_id].name
      }
    }
  ]...)
}

# 遍历所有组合调用AMI复制模块
module "kube_ami" {
  source             = "./modules/ami/kube-ami"
  for_each           = local.ami_region_combinations
  name               = "${each.value.ami_name}-copied-to-${each.value.region}" // 添加区域标识避免名称冲突
  source_ami_id      = each.value.ami_id
  source_ami_region  = data.aws_region.current.name
  encrypted          = true
  kms_key_id         = data.aws_kms_key.by_alias.arn
  target_region      = each.value.region // 新增变量传递目标区域给子模块
}

data "aws_kms_key" "by_alias" {
  key_id = "alias/demokey"
}

4. 修改子模块的aws_ami_copy资源 #

子模块需指定目标区域的Provider别名，确保复制操作在对应区域执行：

# modules/ami/kube-ami/main.tf
variable "name" {
  type        = string
  description = "复制后的AMI名称"
}

variable "source_ami_id" {
  type        = string
  description = "源AMI ID"
}

variable "source_ami_region" {
  type        = string
  description = "源AMI所在区域"
}

variable "encrypted" {
  type        = bool
  description = "是否加密复制后的AMI"
}

variable "kms_key_id" {
  type        = string
  description = "加密使用的KMS密钥ARN"
}

variable "target_region" {
  type        = string
  description = "目标区域"
}

resource "aws_ami_copy" "ami" {
  provider          = aws[var.target_region] // 指定目标区域的Provider实例
  name              = var.name
  source_ami_id     = var.source_ami_id
  source_ami_region = var.source_ami_region
  encrypted         = var.encrypted
  kms_key_id        = var.kms_key_id
}

关键注意事项 #

• KMS密钥跨区域限制：AWS KMS密钥无法跨区域直接使用，需确保每个目标区域都存在同名的KMS密钥别名（alias/demokey），或为每个区域单独指定对应密钥ARN。
• AMI名称唯一性：复制后的AMI名称添加区域标识，避免同一区域内名称冲突。
• Provider兼容性：AWS Provider 4.51.0原生支持for_each配置多Provider实例，无需额外调整。

内容的提问来源于stack exchange，提问作者Satyam Pandey