如何通过Terraform配置AWS Secrets Manager静态凭证（规避明文存储）

以下是几种安全可行的方案，避免将敏感凭证明文存入Git仓库：

1. 使用Terraform环境变量 #

直接通过环境变量传递敏感值，无需在代码或配置文件中明文存储。

• 首先在variables.tf中定义变量（不要设置默认值）：

variable "external_username" {
  type      = string
  sensitive = true # 标记为敏感变量，Terraform输出时会自动脱敏
}

variable "external_password" {
  type      = string
  sensitive = true
}

• 部署时通过带TF_VAR_前缀的环境变量注入值：

export TF_VAR_external_username="your-static-username"
export TF_VAR_external_password="your-static-password"
terraform apply

• 优势：完全不落地任何明文凭证，适配CI/CD流水线场景。

2. 引用AWS Secrets Manager中已存在的预存凭证 #

如果凭证已提前存入AWS Secrets Manager，直接通过数据源引用即可，无需在Terraform中传递明文：

• 先通过数据源获取现有机密：

data "aws_secretsmanager_secret_version" "external_creds" {
  secret_id = "arn:aws:secretsmanager:us-east-1:123456789012:secret:external-system-creds-xxxxxx"
}

• 解析凭证并创建新机密（或直接复用）：

resource "aws_secretsmanager_secret" "app_external_creds" {
  name = "app-external-system-creds"
}

resource "aws_secretsmanager_secret_version" "app_external_creds" {
  secret_id     = aws_secretsmanager_secret.app_external_creds.id
  secret_string = jsonencode({
    username = jsondecode(data.aws_secretsmanager_secret_version.external_creds.secret_string).username
    password = jsondecode(data.aws_secretsmanager_secret_version.external_creds.secret_string).password
  })
}

• 优势：敏感凭证全程在AWS Secrets Manager中流转，Terraform仅处理引用逻辑。

3. 使用.gitignore忽略的本地变量文件 #

创建单独的变量文件存储敏感值，通过.gitignore排除该文件，避免提交到Git：

• 创建secrets.tfvars文件：

external_username = "your-static-username"
external_password = "your-static-password"

• 将secrets.tfvars添加到.gitignore：

# .gitignore内容
secrets.tfvars

• 部署时指定该变量文件：

terraform apply -var-file=secrets.tfvars

• 优势：本地管理敏感值，操作简单，适合个人开发或小团队场景。

4. 使用Terraform Cloud/Enterprise的敏感变量管理 #

如果使用Terraform Cloud或Enterprise，可在平台上配置敏感变量，Terraform运行时自动拉取，代码中无需处理明文：

• 在Terraform Cloud工作区中添加external_username和external_password变量，并标记为敏感（Sensitive）。
• 代码中正常引用变量即可：

resource "aws_secretsmanager_secret_version" "app_external_creds" {
  secret_id     = aws_secretsmanager_secret.app_external_creds.id
  secret_string = jsonencode({
    username = var.external_username
    password = var.external_password
  })
}

• 优势：集中管理敏感变量，支持权限控制，适合企业级团队。

内容的提问来源于stack exchange，提问作者Abhi