如何通过Terraform调用Vault Transit引擎生成明文Data Key？

你可以通过Terraform的http资源直接调用Vault的Generate Data Key API来实现需求，目前Vault Terraform Provider暂未提供专门的资源块生成Data Key，这是最直接的落地方式。

实现步骤与代码示例 #

在现有Terraform配置基础上，添加以下代码：

# 可选：从当前Vault认证会话自动获取Token，无需手动传入
data "vault_auth_token" "current" {}

# 调用Vault Transit生成明文Data Key的API
resource "http" "generate_transit_datakey" {
  url = "http://127.0.0.1:8200/v1/${vault_mount.transit.path}/datakey/plaintext/${vault_transit_secret_backend_key.transit_key.name}"

  method = "POST"

  request_headers = {
    "X-Vault-Token" = data.vault_auth_token.current.client_token
    "Content-Type"  = "application/json"
  }

  # 可按需添加API参数，比如密钥长度、加密上下文等
  request_body = jsonencode({
    key_bits = 256
    # context = "base64编码的上下文字符串" # 可选，用于绑定加密上下文
  })

  # 确保Transit密钥创建完成后再执行API调用
  depends_on = [vault_transit_secret_backend_key.transit_key]
}

# 输出明文Data Key（标记为敏感，避免泄露）
output "transit_datakey_plaintext" {
  value      = jsondecode(http.generate_transit_datakey.response_body).data.plaintext
  sensitive  = true
  description = "明文格式的Transit Data Key"
}

# 输出密文Data Key
output "transit_datakey_ciphertext" {
  value      = jsondecode(http.generate_transit_datakey.response_body).data.ciphertext
  description = "Vault加密后的Data Key"
}

关键说明 #

1. 动态路径拼接：
   复用已创建的vault_mount和vault_transit_secret_backend_key资源属性，避免硬编码路径，提升配置的可维护性。

2. Token认证方式：
   示例通过vault_auth_token数据源自动获取当前Terraform会话的Vault Token；如果环境需要固定Token，可替换为var.vault_token并在变量中配置。

3. 敏感信息防护：
   明文Data Key是敏感数据，通过sensitive = true标记后，Terraform不会在控制台输出该值，也会在状态文件中加密存储（建议同时启用Terraform状态加密）。

4. 权限要求：
   确保使用的Vault Token拥有transit/datakey/plaintext/<你的密钥名称>路径的create权限，否则API调用会返回权限错误。

替代方案（按需选择） #

如果不需要持久化Data Key（每次Terraform刷新都重新生成），可以将resource "http"替换为data "http"，这样每次执行terraform plan或apply都会生成新的Data Key。

内容的提问来源于stack exchange，提问作者Bala krishna