Terraform部署AWS OpenSearch集成Cognito的循环依赖解决方案

在部署集成Cognito的AWS OpenSearch集群时，会碰到两个棘手问题：

• 常规部署流程存在循环依赖：按要求得先建Cognito用户池、用户池客户端、身份池，再把这些配置给OpenSearch，但OpenSearch创建后会自动生成专属的用户池客户端，这个客户端又得加进身份池才能完成集成
• 自动生成的客户端需要手动添加到身份池，没法实现全自动化部署

解决方案 #

利用Terraform的external数据源结合AWS CLI，自动获取OpenSearch生成的Cognito用户池客户端ID，再动态更新身份池配置，打破循环依赖的同时省去手动操作。

以下是关键代码片段：

# 获取OpenSearch自动创建的Cognito用户池客户端ID
data "external" "cognito_opensearch_client" {
  # 等待OpenSearch集群创建完成再执行查询
  depends_on = [aws_opensearch_domain.this]

  program = [
    "sh",
    "-c",
    "aws cognito-idp list-user-pool-clients --user-pool-id ${aws_cognito_user_pool.cognito-user-pool.id} | jq '.UserPoolClients | .[] | select(.ClientName | contains(\"AmazonOpenSearchService\")) | {ClientId: .ClientId}'"
  ]
}

# 输出客户端ID用于调试
output "opensearch_cognito_client_id" {
  value = data.external.cognito_opensearch_client.result["ClientId"]
}

# 创建关联OpenSearch客户端的Cognito身份池
resource "aws_cognito_identity_pool" "opensearch_identity_pool" {
  depends_on = [data.external.cognito_opensearch_client]

  identity_pool_name               = "opensearch-${var.domain_name}-identity-pool"
  allow_unauthenticated_identities = false

  cognito_identity_providers {
    client_id               = data.external.cognito_opensearch_client.result["ClientId"]
    provider_name           = aws_cognito_user_pool.cognito-user-pool.endpoint
    server_side_token_check = false
  }
}

代码说明 #

• 依赖控制：通过depends_on确保OpenSearch集群完全创建后才查询客户端，避免因资源未就绪导致的查询失败
• 精准筛选：用AWS CLI拉取用户池下所有客户端，再通过jq筛选出OpenSearch自动生成的、名称包含AmazonOpenSearchService的客户端，同时格式化输出为Terraform可解析的键值对
• 动态配置：身份池直接引用数据源返回的客户端ID，实现全自动化关联，无需手动操作

内容的提问来源于stack exchange，提问作者Staggerlee011