如何避免用Terraform管理ECS任务定义？求最佳实践方案

核心结论 #

不需要必须在Terraform中定义ECS任务定义，完全可以实现应用级任务定义与基础设施配置的分离，契合12要素原则。

可行实现方案 #

1. 利用Terraform数据资源拉取已有任务定义信息 #

通过aws_ecs_task_definition数据源，直接引用AWS上已存在的任务定义（无论是手动创建、CI/CD部署还是其他方式管理的），提取其中的容器名称和端口信息，避免硬编码。

示例代码：

# 拉取指定任务定义的信息
data "aws_ecs_task_definition" "mongo_task" {
  # 可以指定任务定义家族名，会自动拉取最新的ACTIVE版本
  task_definition = "mongo-task-family"
  # 也可以直接指定ARN：task_definition = "arn:aws:ecs:us-east-1:123456789012:task-definition/mongo-task-family:1"
}

resource "aws_ecs_service" "mongo_service" {
  name            = "mongo-service"
  cluster         = aws_ecs_cluster.main.id
  task_definition = data.aws_ecs_task_definition.mongo_task.arn # 也可以直接用任务定义家族名
  desired_count   = 2

  load_balancer {
    target_group_arn = aws_lb_target_group.foo.arn
    # 从数据源中提取容器名称
    container_name   = jsondecode(data.aws_ecs_task_definition.mongo_task.container_definitions)[0].name
    # 从数据源中提取容器端口
    container_port   = jsondecode(data.aws_ecs_task_definition.mongo_task.container_definitions)[0].portMappings[0].containerPort
  }
}

注意：container_definitions字段是JSON字符串，需要用jsondecode解析后才能提取字段；如果任务定义中有多个容器，需要调整索引或根据名称匹配。

2. 通过变量传递任务定义的关键配置 #

将任务定义中的容器名称、端口作为Terraform变量，在CI/CD流程中从应用侧的任务定义文件（比如和源码绑定的task-def.json）中提取这些值，再传递给Terraform执行。

比如在CI/CD脚本中提取值：

# 从本地任务定义文件中提取容器名称和端口
CONTAINER_NAME=$(jq -r '.[0].name' task-def.json)
CONTAINER_PORT=$(jq -r '.[0].portMappings[0].containerPort' task-def.json)

# 传递给Terraform
terraform apply -var "container_name=$CONTAINER_NAME" -var "container_port=$CONTAINER_PORT"

Terraform代码中使用变量：

variable "container_name" {
  type        = string
  description = "任务定义中的容器名称"
}

variable "container_port" {
  type        = number
  description = "任务定义中的容器端口"
}

resource "aws_ecs_service" "mongo_service" {
  # 其他必要配置...
  load_balancer {
    target_group_arn = aws_lb_target_group.foo.arn
    container_name   = var.container_name
    container_port   = var.container_port
  }
}

3. 使用外部数据源自定义提取任务定义配置 #

如果任务定义文件存储在本地或源码仓库中，可以通过Terraform的external数据源，调用自定义脚本读取并解析任务定义文件，返回需要的字段。

示例代码：

data "external" "task_def_details" {
  # 调用自定义脚本提取配置，脚本需返回JSON格式结果
  program = ["bash", "${path.module}/get_task_def_config.sh"]
}

resource "aws_ecs_service" "mongo_service" {
  # 其他配置...
  load_balancer {
    target_group_arn = aws_lb_target_group.foo.arn
    container_name   = data.external.task_def_details.result.container_name
    container_port   = tonumber(data.external.task_def_details.result.container_port)
  }
}

对应的get_task_def_config.sh脚本示例：

#!/bin/bash
# 读取任务定义文件并解析输出
CONTAINER_NAME=$(jq -r '.[0].name' ./task-def.json)
CONTAINER_PORT=$(jq -r '.[0].portMappings[0].containerPort' ./task-def.json)

# 返回JSON格式结果
echo "{\"container_name\": \"$CONTAINER_NAME\", \"container_port\": \"$CONTAINER_PORT\"}"

契合12要素原则的说明 #

以上方案均实现了应用配置（任务定义）与基础设施配置的分离：任务定义作为应用的配置文件与源码绑定，由应用团队管理；Terraform仅负责基础设施层面的资源编排（ECS服务、负载均衡关联等），通过数据引用或变量传递的方式获取应用侧的必要配置，避免了基础设施代码耦合应用配置，符合12要素中“配置与代码分离”的原则。

内容的提问来源于stack exchange，提问作者Hussein Karaki