Terraform中如何获取rosa create admin命令的敏感JSON输出

方案1：用terraform_data一次性执行并捕获敏感输出（Terraform 1.3+适用） #

Terraform 1.3之后推出的terraform_data资源刚好适配这个场景——它可以只执行一次操作，还能把命令输出作为敏感属性传递给其他资源，不会每次plan都重复执行命令。

示例代码：

resource "terraform_data" "rosa_admin" {
  # 仅在集群ID变化时重新执行（确保仅在新集群创建后触发一次）
  triggers_replace = [var.rosa_cluster_id]

  provisioner "local-exec" {
    command = "rosa create admin --cluster ${var.rosa_cluster_id} --output json"

    # 标记输出为敏感，避免在日志或plan结果中明文显示
    sensitive_output = true
  }

  # 校验输出为合法JSON，避免后续解析出错
  lifecycle {
    postcondition {
      condition     = can(jsondecode(self.output))
      error_message = "解析rosa create admin的JSON输出失败。"
    }
  }
}

# 将凭据存入Vault的示例
resource "vault_kv_secret_v2" "rosa_admin_creds" {
  mount_point = "secret"
  name        = "rosa/cluster/${var.rosa_cluster_id}/admin"

  data_json = jsonencode({
    username = jsondecode(terraform_data.rosa_admin.output).username
    password = jsondecode(terraform_data.rosa_admin.output).password
  })

  # 必须等admin用户创建完成后再写入Vault
  depends_on = [terraform_data.rosa_admin]
}

• 好处：不会像data "external"那样每次plan都执行命令；无需写入本地文件，敏感数据直接存储在Terraform状态中（记得给状态加密）；sensitive_output能有效防止输出明文泄露。
• 要留意：必须确保Terraform远程状态（如Terraform Cloud、S3+KMS）已启用加密，避免敏感数据裸奔；triggers_replace中的变量要能准确触发首次执行，后续不再重复。

方案2：null_resource加external的条件执行（兼容旧版Terraform） #

如果你的Terraform版本低于1.3，可以用这个组合——用null_resource执行命令，通过标记文件让external仅在首次读取输出，避免重复创建用户。

示例代码：

resource "null_resource" "create_rosa_admin" {
  triggers = {
    cluster_id = var.rosa_cluster_id
  }

  provisioner "local-exec" {
    command = <<EOF
# 执行命令并写入临时文件，同时生成标记文件（仅标记用户已创建，不存储敏感数据）
rosa create admin --cluster ${var.rosa_cluster_id} --output json > /tmp/rosa_admin_${var.rosa_cluster_id}.tmp && touch /tmp/rosa_admin_created_${var.rosa_cluster_id}.flag
EOF
  }
}

data "external" "rosa_admin_creds" {
  program = [
    "bash",
    "-c",
    <<EOF
if [ -f /tmp/rosa_admin_created_${var.rosa_cluster_id}.flag ]; then
  cat /tmp/rosa_admin_${var.rosa_cluster_id}.tmp
else
  echo '{"error": "管理员用户尚未创建"}' >&2
  exit 1
fi
EOF
  ]

  depends_on = [null_resource.create_rosa_admin]
}

# 存入Vault的操作
resource "vault_kv_secret_v2" "rosa_admin_creds" {
  mount_point = "secret"
  name        = "rosa/cluster/${var.rosa_cluster_id}/admin"

  data_json = jsonencode({
    username = data.external.rosa_admin_creds.result.username
    password = data.external.rosa_admin_creds.result.password
  })

  lifecycle {
    # 确保Vault中的凭据仅写入一次，后续不更新
    ignore_changes = all
  }
}

# 可选：清理临时文件，避免敏感数据残留磁盘
resource "null_resource" "cleanup_temp_files" {
  depends_on = [vault_kv_secret_v2.rosa_admin_creds]

  provisioner "local-exec" {
    command = "rm -f /tmp/rosa_admin_${var.rosa_cluster_id}.tmp /tmp/rosa_admin_created_${var.rosa_cluster_id}.flag"
  }
}

• 好处：兼容低版本Terraform；标记文件能确保rosa create admin仅执行一次；临时文件可在完成后清理，降低泄露风险。
• 要留意：临时文件会短暂存在本地磁盘，若环境对敏感数据管控极严，需评估此风险；清理步骤必须等Vault写入完成后执行，避免数据丢失。

必看注意事项 #

1. 状态加密是底线：无论采用哪种方案，敏感数据都会存入Terraform状态，一定要给远程状态启用加密（如Terraform Cloud自带加密、S3状态配KMS），绝对不能使用明文状态。
2. 确认命令幂等性：先确认rosa create admin重复执行的后果——如果重复执行会报错或创建新用户，必须确保命令仅执行一次，上述方案均能满足此要求。
3. 敏感属性标记：涉及用户名密码的属性要确保被Terraform识别为敏感数据，避免在plan或apply输出中明文显示。

内容的提问来源于stack exchange，提问作者Steve Stevens