如何用Terraform获取现有VPC的全部CIDR并添加至安全组入站规则

你当前的代码只获取了VPC的主CIDR（cidr_block字段），而VPC的辅助CIDR存储在cidr_block_associations列表中。要获取所有CIDR，需要将主CIDR和辅助CIDR合并，再用于安全组规则。

步骤1：获取VPC的所有CIDR #

修改数据源配置，通过cidr_block_associations提取所有辅助CIDR，再与主CIDR合并并去重（避免主CIDR重复出现）：

data "aws_vpc" "example_vpc" {
  id = "vpc-xxxxx" # 替换为你的VPC ID
}

locals {
  # 合并主CIDR与所有辅助CIDR，去重后得到完整列表
  vpc_all_cidrs = distinct(
    concat(
      [data.aws_vpc.example_vpc.cidr_block],
      [for assoc in data.aws_vpc.example_vpc.cidr_block_associations : assoc.cidr_block]
    )
  )
}

# 输出验证所有CIDR
output "vpc_all_cidrs" {
  value = local.vpc_all_cidrs
}

步骤2：用所有CIDR创建安全组入站规则 #

使用Terraform的dynamic块遍历所有CIDR，自动生成对应的入站规则（以下示例允许所有TCP流量，可按需修改端口和协议）：

resource "aws_security_group" "example_sg" {
  name        = "vpc-internal-sg"
  description = "Allow inbound traffic from all VPC CIDRs"
  vpc_id      = data.aws_vpc.example_vpc.id

  # 动态生成每个CIDR对应的入站规则
  dynamic "ingress" {
    for_each = local.vpc_all_cidrs
    content {
      from_port   = 0
      to_port     = 65535
      protocol    = "tcp"
      cidr_blocks = [ingress.value]
    }
  }

  # 可选：默认出站规则，允许所有流量
  egress {
    from_port   = 0
    to_port     = 65535
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

关键说明 #

• cidr_block_associations：该字段返回VPC的所有CIDR关联记录，包括主CIDR和手动添加的辅助CIDR
• distinct：用于去重，避免主CIDR同时出现在cidr_block和cidr_block_associations中导致重复规则
• dynamic块：Terraform 0.12+支持的语法，可根据列表动态生成多个资源块（此处为多个入站规则）

内容的提问来源于stack exchange，提问作者Manikanta Reddy