如何优化Terraform模块的API密钥配置，避免项目重复声明变量？

下面是几种优化实现的方式，能避免使用模块的项目重复声明API密钥变量，同时减少密钥暴露风险：

方案1：利用Provider内置的环境变量支持（推荐） #

多数Terraform Provider会默认读取特定命名的环境变量来获取凭据。如果foo Provider支持类似FOO_API_KEY的环境变量（可查看官方文档确认），直接省略模块中api_key的显式配置即可：

模块文件 /module/foo 修改后： #

provider "foo" {
  # 无需指定api_key，Provider会自动读取FOO_API_KEY环境变量
}

使用模块的项目： #

只需要在执行Terraform命令前设置环境变量，无需声明api_key变量或传递给模块：

export FOO_API_KEY="secretapikey"

这种方式最简洁，完全避免了密钥在Terraform配置中的传递，符合Provider的设计规范。

方案2：模块内部直接读取环境变量 #

如果foo Provider不支持自动读取环境变量，可在模块中直接通过env()函数读取环境变量，无需对外暴露api_key变量：

模块文件 /module/foo 修改后： #

provider "foo" {
  api_key = env("FOO_API_KEY")
}

# 删除原有的api_key变量声明

使用模块的项目： #

同样只需设置环境变量，无需任何额外变量声明或传递：

export FOO_API_KEY="secretapikey"

这种方式把密钥的读取逻辑封装在模块内部，上层项目无需关心凭据的传递细节。

方案3：保留变量灵活性，默认从环境变量读取 #

如果需要允许用户通过变量覆盖默认的环境变量值，可以给模块的api_key变量设置默认值为环境变量：

模块文件 /module/foo 修改后： #

variable "api_key" {
  sensitive = true
  default   = env("FOO_API_KEY") # 默认读取环境变量
}

provider "foo" {
  api_key = var.api_key
}

使用模块的项目： #

• 常规场景：只需设置环境变量，无需声明api_key变量或传递给模块
• 需要覆盖时：才声明变量并传递值（可选）

# 仅当需要覆盖环境变量时才添加以下内容
variable "api_key" {
  sensitive = true
}

module "bar" {
  source = "../module/foo"
  name   = "toto"
  
  api_key = var.api_key # 可选：仅当需要覆盖时传递
}

这种方式兼顾了封装性和灵活性，适合需要多种凭据来源的场景。

内容的提问来源于stack exchange，提问作者Nico