如何通过Terraform动态获取AWS资源值创建CloudWatch仪表盘？

针对你当前硬编码AWS资源值导致的脆弱性问题，以下几种动态获取方案更可靠：

1. 使用Terraform原生数据源（优先推荐） #

Terraform提供了专门的AWS数据源，可以直接查询现有AWS资源的属性，完全替代硬编码，且和Terraform的生命周期无缝兼容，不会无端触发资源销毁重建。

示例代码：

# 定义数据源查询目标ALB
data "aws_lb" "target_alb" {
  for_each = local.env_mapping[var.env]
  name     = each.value.alb_name # 仅保留环境标识类变量，而非硬编码ARN或资源ID
}

# 定义数据源查询目标ALB对应的目标组
data "aws_lb_target_group" "target_tg" {
  for_each = local.env_mapping[var.env]
  name     = each.value.tg_name
}

# 部署CloudWatch仪表盘时直接引用数据源属性
resource "aws_cloudwatch_dashboard" "my_alb" {
  for_each       = local.env_mapping[var.env]
  dashboard_name = "${each.key}_alb_web_operational"
  dashboard_body = templatefile("templates/alb_ops.tpl", {
    environment = each.value.env,
    account     = each.value.account,
    region      = each.value.region,
    alb         = data.aws_lb.target_alb[each.key].arn
    tg          = data.aws_lb_target_group.target_tg[each.key].arn
  })
}

这种方案无需额外工具，Terraform会自动在执行计划阶段查询最新资源状态，确保配置和实际AWS资源一致。

2. 使用Terraform External数据源调用自定义脚本 #

如果需要更复杂的查询逻辑（比如跨多账号/区域批量获取资源），可以用external数据源调用Boto3脚本，将查询结果传递给Terraform。

示例脚本（get_alb_tg.py）：

import boto3
import json

def main():
    env = input().strip()
    # 根据环境标识查询对应的ALB和TG
    client = boto3.client('elbv2')
    alb_response = client.describe_load_balancers(Names=[f"{env}-alb"])
    tg_response = client.describe_target_groups(Names=[f"{env}-alb-tg"])
    
    result = {
        "alb_arn": alb_response['LoadBalancers'][0]['LoadBalancerArn'],
        "tg_arn": tg_response['TargetGroups'][0]['TargetGroupArn']
    }
    print(json.dumps(result))

if __name__ == "__main__":
    main()

Terraform配置中引用：

data "external" "alb_tg_data" {
  for_each = local.env_mapping[var.env]
  program = ["python3", "${path.module}/get_alb_tg.py"]
  
  query = {
    env = each.value.env
  }
}

resource "aws_cloudwatch_dashboard" "my_alb" {
  for_each       = local.env_mapping[var.env]
  dashboard_name = "${each.key}_alb_web_operational"
  dashboard_body = templatefile("templates/alb_ops.tpl", {
    environment = each.value.env,
    account     = each.value.account,
    region      = each.value.region,
    alb         = data.external.alb_tg_data[each.key].result["alb_arn"]
    tg          = data.external.alb_tg_data[each.key].result["tg_arn"]
  })
}

注意脚本必须输出合法JSON格式，Terraform会校验输出结构。

3. 使用AWS SSM参数存储共享资源属性 #

把ALB和TG的ARN预先存储在AWS SSM参数中，Terraform通过数据源读取这些参数，适合需要跨工具共享资源信息的场景。

示例配置：

# 读取SSM中的ALB ARN参数
data "aws_ssm_parameter" "alb_arn" {
  for_each = local.env_mapping[var.env]
  name     = "/${each.value.env}/alb/arn"
}

# 读取SSM中的TG ARN参数
data "aws_ssm_parameter" "tg_arn" {
  for_each = local.env_mapping[var.env]
  name     = "/${each.value.env}/alb/tg/arn"
}

resource "aws_cloudwatch_dashboard" "my_alb" {
  for_each       = local.env_mapping[var.env]
  dashboard_name = "${each.key}_alb_web_operational"
  dashboard_body = templatefile("templates/alb_ops.tpl", {
    environment = each.value.env,
    account     = each.value.account,
    region      = each.value.region,
    alb         = data.aws_ssm_parameter.alb_arn[each.key].value
    tg          = data.aws_ssm_parameter.tg_arn[each.key].value
  })
}

当AWS资源更新后，只需更新SSM参数值，Terraform执行计划时会自动获取最新值。

内容的提问来源于stack exchange，提问作者user45097