Terraform SSM模块优化：传入值为Null时忽略已有参数

1. 调整模块变量定义 #

先修改模块的variables.tf，把value变量设为可选（默认值为null），明确其用途：

variable "value" {
  type        = string
  description = "SSM参数的值；设为null时将保留现有值，不做修改"
  default     = null
  sensitive   = true # 敏感密钥建议开启，避免日志输出明文
}

variable "overwrite" {
  type        = bool
  description = "是否允许覆盖现有参数；仅当传入非null的value时生效"
  default     = true
}

2. 更新SSM资源配置 #

修改模块中的aws_ssm_parameter资源，添加null值处理逻辑，避免修改现有参数：

resource "aws_ssm_parameter" "default" {
  count           = var.enabled ? 1 : 0
  name            = "${module.label.id}-parameter"
  type            = var.type
  # 传入非null值时用新值，否则复用现有参数的值（仅更新场景生效）
  value           = var.value != null ? var.value : try(aws_ssm_parameter.default[0].value, null)
  description     = var.description
  tier            = var.tier
  key_id          = var.key_id
  # 仅当传入新值时允许覆盖，否则禁止修改
  overwrite       = var.value != null ? var.overwrite : false
  allowed_pattern = var.allowed_pattern

  lifecycle {
    # 当value为null时，忽略对该字段的变更检测
    ignore_changes = [value]
    
    # 前置检查：创建新参数时必须提供value
    precondition {
      condition     = var.enabled && var.value != null
      error_message = "创建新参数时必须传入value值（var.enabled为true且参数尚未存在）。"
    }
  }
}

3. 模块调用方式 #

• 新增参数：添加新的模块实例，传入新参数的value值。
• 保留现有参数：将已有模块实例的value设为null，Terraform会忽略该参数的value修改，无需重新输入旧值。

示例调用：

# 现有参数：设为null，不修改
module "db_password" {
  source = "./modules/ssm-param"
  enabled = true
  type = "SecureString"
  value = null
  description = "数据库密码"
  # 其他参数保持不变
}

# 新增参数：传入新值
module "api_key" {
  source = "./modules/ssm-param"
  enabled = true
  type = "SecureString"
  value = var.api_key_value
  description = "API密钥"
  # 其他参数按需配置
}

额外建议 #

• 敏感值建议通过terraform.tfvars文件或环境变量传递，不要硬编码在配置文件中。
• 如果需要批量管理多个参数，可以将模块改为接收参数列表（如list(object({}))类型的变量），用for_each替代count，简化配置。

内容的提问来源于stack exchange，提问作者Shahar