如何将Terraform输出永久写入UserData脚本？EFS挂载场景

我想用Terraform部署EFS、Auto Scaling Group（ASG）及Launch Template，让Launch Template中的userdata脚本执行EFS挂载命令（示例：sudo mount -t efs -o tls fs-0b28edbb9efe91c25:/ efs）。需求是：userdata脚本能正确获取EFS ID，且该逻辑在初始部署、滚动更新（比如修改Launch Template的AMI ID后执行terraform apply触发更新）时都能生效。请问：

1. 能否将Terraform输出永久添加到UserData脚本？
2. 有哪些替代实现方案？
3. 是否需要用到CloudFormation或其他AWS服务？

附现有代码：

main.tf #

resource "aws_vpc" "mtc_vpc" {
  cidr_block           = "10.123.0.0/16"
  enable_dns_hostnames = true
  enable_dns_support   = true

  tags = {
    Name = "dev"
  }
}

resource "aws_launch_template" "foobar" {
  name_prefix          = "LTTest"
  image_id             = "ami-017c001a88dd93847"
  instance_type        = "t2.micro"
  update_default_version = true

  key_name = "lttest"

  user_data = base64encode(templatefile("${path.module}/userdata.sh", {efs_id = aws_efs_file_system.foo.id}))

  iam_instance_profile {
    name = aws_iam_instance_profile.test_profile.name
  }

  vpc_security_group_ids = [aws_security_group.mtc_sg.id]
}

resource "aws_autoscaling_group" "bar" {
  desired_capacity = 2
  max_size         = 2
  min_size         = 2

  vpc_zone_identifier = [
    aws_subnet.mtc_public_subnet1.id
  ]

  instance_refresh {
    strategy = "Rolling"
    preferences {
      min_healthy_percentage = 50
    }
  }

  launch_template {
    id      = aws_launch_template.foobar.id
    version = aws_launch_template.foobar.latest_version
  }
}

resource "aws_efs_file_system" "foo" {
  creation_token = "jira-efs"
}

resource "aws_efs_mount_target" "alpha" {
  file_system_id  = aws_efs_file_system.foo.id
  subnet_id       = aws_subnet.mtc_public_subnet1.id
  security_groups = [aws_security_group.mtc_sg.id]
}

userdata.sh（更新版） #

#!/usr/bin/env bash

sudo yum install -y amazon-efs-utils

sudo yum install -y git

cd /home/ec2-user
mkdir efs

sudo mount -t efs -o tls ${efs_id}:/ efs

1. 现有Terraform方案的优化（满足需求） #

你当前的实现已经能满足初始部署和滚动更新时传递EFS ID的需求，核心逻辑没问题，补充几点注意事项：

• 修改Launch Template的AMI ID时，Terraform会创建新版本的Launch Template（因update_default_version = true），ASG配置了version = aws_launch_template.foobar.latest_version，会触发实例滚动刷新，新实例的userdata会携带正确的EFS ID。
• 若EFS文件系统重建（ID变更），Terraform会自动更新Launch Template的userdata，同样触发ASG实例刷新，确保新实例挂载新的EFS。
• 所谓“永久添加Terraform输出到UserData”，本质就是通过templatefile将EFS ID注入userdata，再通过Launch Template的版本管理，让ASG始终使用最新版本的模板，这个逻辑是持久有效的。

2. 替代方案：用SSM Parameter Store动态获取EFS ID #

如果不想每次EFS ID变更都更新Launch Template，可以把EFS ID存储在AWS SSM Parameter Store中，让userdata脚本在实例启动时动态拉取：

步骤1：在Terraform中创建SSM参数 #

resource "aws_ssm_parameter" "efs_id" {
  name        = "/dev/efs/jira-efs-id"
  type        = "String"
  value       = aws_efs_file_system.foo.id
  description = "EFS ID for JIRA file system"
}

步骤2：给实例IAM角色添加SSM权限 #

确保实例配置的IAM角色有ssm:GetParameter权限：

resource "aws_iam_policy" "ssm_get_parameter" {
  name        = "SSMGetParameterPolicy"
  description = "Allow getting SSM parameters"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = "ssm:GetParameter"
        Resource = aws_ssm_parameter.efs_id.arn
      }
    ]
  })
}

# 将策略附加到实例角色
resource "aws_iam_role_policy_attachment" "ssm_policy_attach" {
  role       = aws_iam_role.test_role.name
  policy_arn = aws_iam_policy.ssm_get_parameter.arn
}

步骤3：修改userdata.sh动态拉取EFS ID #

#!/usr/bin/env bash

sudo yum install -y amazon-efs-utils git

cd /home/ec2-user
mkdir efs

# 从SSM获取EFS ID
EFS_ID=$(aws ssm get-parameter --name "/dev/efs/jira-efs-id" --query "Parameter.Value" --output text)

sudo mount -t efs -o tls ${EFS_ID}:/ efs

这个方案的优势是：EFS ID变更时，只需更新SSM参数（Terraform会自动处理），无需修改Launch Template，新启动的实例会自动获取最新ID，适合EFS可能频繁变更的场景。

3. 是否需要CloudFormation或其他AWS服务？ #

不需要。Terraform本身已经能完美处理EFS、ASG、Launch Template的部署和参数传递逻辑。CloudFormation虽然也能实现类似功能，但你已经基于Terraform搭建环境，切换成本高，完全没必要。

其他可选服务比如EC2 Instance Metadata，但需要自定义元数据，不如SSM Parameter Store灵活；或者AWS Systems Manager Run Command，但更适合批量管理现有实例，而非实例启动时的挂载操作。

内容的提问来源于stack exchange，提问作者Legion_of_boom__