如何在Terraform多AWS账号环境下为变量配置不同值

以下是几种实用方案，按需选择：

方案1：使用Terraform工作区（Workspace）+ 环境变量文件 #

适合同一代码库管理多账号环境，通过工作区隔离不同账号的配置：

1. 创建对应账号的工作区

# 创建三个工作区分别对应三个AWS账号
terraform workspace new account-prod
terraform workspace new account-staging
terraform workspace new account-dev

2. 为每个工作区编写变量文件
   在当前目录创建三个变量文件，比如：

• terraform.account-prod.tfvars

# 生产账号的grant配置
grant = [
  {
    id          = "prod-owner-id"
    type        = "CanonicalUser"
    permissions = ["READ", "WRITE"]
  }
]
# 生产账号的owner信息
owner = {
  id           = "prod-owner-id"
  display_name = "Production Account Owner"
}

• terraform.account-staging.tfvars、terraform.account-dev.tfvars同理，填入对应账号的grant和owner值。

3. 修改当前目录的变量定义与模块调用
   在当前目录的variables.tf中添加变量定义：

variable "grant" {
  description = "S3 Bucket ACL权限配置"
  type        = any
  default     = []
}

variable "owner" {
  description = "S3 Bucket所有者信息"
  type        = map(string)
  default     = {}
}

修改s3_bucket.tf，将grant和owner变量传入你的包装模块：

module "sample_bucket" {
  source  = "../../../../modules/aws/data/s3_bucket"
  bucket = "sample_bucket"
  lifecycle_rule = [
     # 你的生命周期规则配置
  ]
  # 传入变量
  grant = var.grant
  owner = var.owner
}

4. 切换工作区并应用配置

# 切换到生产账号工作区并应用
terraform workspace select account-prod
terraform apply -var-file=terraform.account-prod.tfvars

# 其他账号同理
terraform workspace select account-staging
terraform apply -var-file=terraform.account-staging.tfvars

方案2：使用环境变量传递 #

适合CI/CD流水线或临时执行场景，直接通过环境变量注入不同账号的参数：

1. 设置对应账号的环境变量
   终端中设置TF_VAR前缀的环境变量（不同账号执行不同的export命令）：

# 生产账号的环境变量配置
export TF_VAR_grant='[{ "id": "prod-owner-id", "type": "CanonicalUser", "permissions": ["READ", "WRITE"] }]'
export TF_VAR_owner='{"id": "prod-owner-id", "display_name": "Production Account Owner"}'

2. 直接执行Terraform命令
   无需修改现有代码，直接运行：

terraform apply

Terraform会自动读取TF_VAR_前缀的环境变量值，传递给模块中的对应变量。

方案3：使用多目录隔离账号配置 #

适合对账号配置隔离性要求高的场景，每个账号单独维护配置目录：

1. 创建账号专属目录
   在项目根目录下创建三个子目录：account-prod/、account-staging/、account-dev/

2. 每个目录内编写独立配置
   以account-prod/为例：

• main.tf：调用你的S3包装模块，直接填入生产账号的grant和owner值

module "sample_bucket" {
  source  = "../../modules/aws/data/s3_bucket"
  bucket = "sample_bucket-prod"
  lifecycle_rule = [
     # 生命周期规则
  ]
  grant = [
    {
      id          = "prod-owner-id"
      type        = "CanonicalUser"
      permissions = ["READ", "WRITE"]
    }
  ]
  owner = {
    id           = "prod-owner-id"
    display_name = "Production Account Owner"
  }
}

• provider.tf：配置生产账号的AWS认证（比如使用profile、access key等）

provider "aws" {
  region  = "us-east-1"
  profile = "prod-aws-profile" # 本地AWS配置文件中的生产账号profile
}

3. 进入对应目录执行Terraform命令

cd account-prod
terraform init
terraform apply

内容的提问来源于stack exchange，提问作者Devops