如何通过Terraform解密并获取AWS KMS中存储的明文密钥

你当前的代码已经通过aws_kms_secrets数据源完成了解密操作，只需引用解密后的结果即可获取目标明文：

1. 获取完整明文内容 #

直接引用data.aws_kms_secrets.services.plaintext["services_password"]就能拿到解密后的完整JSON字符串。可以通过Terraform输出展示：

output "decrypted_full_secrets" {
  value       = data.aws_kms_secrets.services.plaintext["services_password"]
  description = "解密后的完整明文内容"
}

2. 单独提取指定字段值 #

如果需要单独获取Jason或Ralph的密码，用jsondecode函数解析JSON字符串后提取对应字段：

output "jason_password" {
  value       = jsondecode(data.aws_kms_secrets.services.plaintext["services_password"]).Jason
  description = "Jason的密码"
}

output "ralph_password" {
  value       = jsondecode(data.aws_kms_secrets.services.plaintext["services_password"]).Ralph
  description = "Ralph的密码"
}

注意事项 #

• 执行Terraform的环境必须拥有KMS密钥的kms:Decrypt权限，否则解密会失败。
• 不要将包含明文的Terraform状态文件提交到版本控制系统，建议开启状态加密保护敏感数据。

内容的提问来源于stack exchange，提问作者user19927732