Terraform中如何正确定义EKS节点安全组ID用于RDS安全组规则

你之前的问题核心是变量默认值无法引用模块的动态输出——Terraform在解析变量默认值时，模块的worker_security_group_id还未生成，直接写在variable.tf里会报错。正确的做法是把静态默认规则和动态生成的EKS安全组规则分开处理，在资源层面合并。

步骤1：修正变量定义 #

在variable.tf中，只定义规则的结构，默认值只放静态的CIDR规则，不要写入模块引用：

variable "ingress_rules" {
  type = list(object({
    from_port       = number
    to_port         = number
    protocol        = string
    cidr_blocks     = list(string)
    security_groups = list(string)
  }))
  default = [
    # 示例：静态CIDR规则（比如办公网访问）
    {
      from_port       = 5432
      to_port         = 5432
      protocol        = "tcp"
      cidr_blocks     = ["192.168.1.0/24"]
      security_groups = []
    }
  ]
}

步骤2：合并静态与动态规则 #

在main.tf中，通过locals把默认的静态规则和EKS节点安全组的动态规则合并，再传入安全组的dynamic块：

# 假设你已通过官方EKS模块创建集群
module "eks" {
  source = "terraform-aws-modules/eks/aws"
  # 你的EKS配置参数...
}

# 合并默认规则与EKS节点安全组规则
locals {
  rds_ingress_rules = concat(
    var.ingress_rules,
    [
      {
        from_port       = 5432  # 对应你的RDS端口（比如PostgreSQL是5432，MySQL是3306）
        to_port         = 5432
        protocol        = "tcp"
        cidr_blocks     = []
        security_groups = [module.eks.worker_security_group_id]
      }
    ]
  )
}

# 创建RDS安全组，用dynamic块生成入站规则
resource "aws_security_group" "rds" {
  name        = "rds-access-sg"
  description = "Allow traffic to RDS from authorized sources"
  vpc_id      = module.eks.vpc_id  # 复用EKS的VPC ID

  dynamic "ingress" {
    for_each = local.rds_ingress_rules
    content {
      from_port       = ingress.value.from_port
      to_port         = ingress.value.to_port
      protocol        = ingress.value.protocol
      cidr_blocks     = ingress.value.cidr_blocks
      security_groups = ingress.value.security_groups
    }
  }

  # 按需配置出站规则（示例：允许所有出站流量）
  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

为什么之前的写法不行？ #

Terraform的变量默认值属于静态配置，会在初始化阶段被解析；而模块的输出值（比如module.eks.worker_security_group_id）是动态生成的，要等到计划阶段才会确定。两者的生命周期不兼容，所以不能在变量默认值中直接引用模块输出。

内容的提问来源于stack exchange，提问作者sammahi