如何通过Terraform立即轮转AWS Secrets Manager密钥？

Terraform是声明式工具，本身没有原生资源支持触发Secrets Manager密钥的手动轮转，所以最佳实践是通过本地执行命令配合null_resource来封装可复用的轮转操作，以下是具体实现方式：

方案1：基础可复用配置（单密钥场景） #

用null_resource配合local-exec执行AWS CLI的轮转命令，通过triggers字段控制执行时机：

resource "null_resource" "secret_manual_rotation" {
  # 修改manual_trigger的值即可触发轮转操作
  triggers = {
    manual_trigger = var.manual_rotation_trigger
    secret_arn     = aws_secretsmanager_secret.my_secret.arn
  }

  provisioner "local-exec" {
    command = "aws secretsmanager rotate-secret --secret-id ${aws_secretsmanager_secret.my_secret.arn}"

    # 按需指定AWS配置文件，适配多环境部署场景
    environment = {
      AWS_PROFILE = var.aws_profile
    }
  }
}

# 手动触发用的变量，每次轮转时修改值（比如从v1改成v2）
variable "manual_rotation_trigger" {
  type        = string
  description = "手动触发轮转的标志，修改此值即可触发操作"
  default     = "v1"
}

variable "aws_profile" {
  type        = string
  description = "AWS配置文件名称"
  default     = "default"
}

使用方式：

• 当需要手动轮转时，修改var.manual_rotation_trigger的取值，执行terraform apply即可触发轮转命令。
• 这段配置可以直接复制到其他密钥的Terraform代码中，替换对应的密钥ARN即可复用。

方案2：封装为可复用模块（多密钥场景） #

如果有多个密钥需要手动轮转，把轮转逻辑封装成Terraform模块，能大幅提升复用性：

模块代码（modules/manual_secret_rotation/main.tf） #

variable "secret_arn" {
  type        = string
  description = "需要轮转的目标密钥ARN"
}

variable "manual_trigger" {
  type        = string
  description = "手动触发轮转的标志变量"
}

variable "aws_profile" {
  type        = string
  description = "AWS配置文件名称"
  default     = "default"
}

resource "null_resource" "manual_rotation" {
  triggers = {
    secret_arn     = var.secret_arn
    manual_trigger = var.manual_trigger
  }

  provisioner "local-exec" {
    command = "aws secretsmanager rotate-secret --secret-id ${var.secret_arn}"

    environment = {
      AWS_PROFILE = var.aws_profile
    }
  }
}

主配置中调用模块 #

# 调用模块轮转用户数据库密钥
module "user_db_secret_rotation" {
  source = "./modules/manual_secret_rotation"

  secret_arn     = aws_secretsmanager_secret.user_db.arn
  manual_trigger = var.user_db_rotation_trigger
  aws_profile    = var.aws_profile
}

# 调用模块轮转API密钥
module "api_key_secret_rotation" {
  source = "./modules/manual_secret_rotation"

  secret_arn     = aws_secretsmanager_secret.api_key.arn
  manual_trigger = var.api_key_rotation_trigger
  aws_profile    = var.aws_profile
}

# 每个密钥对应独立的触发变量
variable "user_db_rotation_trigger" {
  type        = string
  default     = "v1"
  description = "user_db密钥手动轮转触发标志"
}

variable "api_key_rotation_trigger" {
  type        = string
  default     = "v1"
  description = "api_key密钥手动轮转触发标志"
}

variable "aws_profile" {
  type        = string
  default     = "default"
}

关键注意事项 #

• 执行terraform apply的环境必须已安装AWS CLI，且执行用户拥有secretsmanager:RotateSecret权限。
• 确保目标密钥已配置好自动轮转所需的Lambda函数（通过aws_secretsmanager_secret_rotation资源），否则手动轮转会失败。
• 这种方式属于命令式操作，和Terraform的声明式理念略有差异，但这是当前实现手动轮转的最可行方案。

内容的提问来源于stack exchange，提问作者Arpit Tomar