如何将Terraform输出值存储至S3存储桶文件中

有两种常用方法可以把你的证书输出内容写入S3桶的文件中：

方法一：用Terraform原生S3资源直接写入 #

这种方法无需依赖外部工具，直接通过Terraform的aws_s3_object资源完成上传，是最推荐的原生方案。

# 若还没有目标S3桶，可先创建（已有桶可跳过此段）
resource "aws_s3_bucket" "cert_storage" {
  bucket = "your-unique-cert-bucket" # 替换为你的专属桶名
}

# 将证书内容写入S3指定文件
resource "aws_s3_object" "certificate_file" {
  bucket      = aws_s3_bucket.cert_storage.id # 已有桶直接填写桶名，比如"my-existing-cert-bucket"
  key         = "certificates/ssl-cert.pem" # 自定义S3内的文件路径与名称
  content     = venafi_certificate.this.certificate
  content_type = "application/x-pem-file" # 可选，设置正确的MIME类型，方便后续识别
}

# 保留原输出配置
output "certificate_body" {
  description = "The acm certificate body"
  value       = venafi_certificate.this.certificate
}

执行terraform apply后，Terraform会自动在证书创建/更新完成后，将内容同步到指定的S3文件中。

方法二：用local_exec结合AWS CLI上传 #

如果需要先做本地格式处理等额外操作，可以通过local_exec调用AWS CLI完成上传：

# 保留原输出配置
output "certificate_body" {
  description = "The acm certificate body"
  value       = venafi_certificate.this.certificate
}

resource "null_resource" "upload_cert_to_s3" {
  # 触发器：仅当证书内容变化时重新执行上传命令
  triggers = {
    certificate_content = venafi_certificate.this.certificate
  }

  provisioner "local_exec" {
    command = <<EOT
      # 将证书内容写入本地临时文件（用printf避免特殊字符转义问题）
      printf "%s" '${venafi_certificate.this.certificate}' > temp-cert.pem
      # 上传至目标S3桶
      aws s3 cp temp-cert.pem s3://your-existing-bucket/certificates/ssl-cert.pem
      # 删除本地临时文件
      rm temp-cert.pem
    EOT
  }
}

注意事项 #

• 运行Terraform的环境需配置好AWS CLI权限，确保能访问目标S3桶
• 使用printf代替echo可避免换行、引号等特殊字符导致的格式错乱
• triggers参数确保仅证书内容变化时才重新执行上传，避免无意义的重复操作

内容的提问来源于stack exchange，提问作者Sayon