如何使用Terraform通过AWS SSM参数存储更新密钥 无需-target单次部署资源

现有配置加lifecycle.ignore_changes = [value]的思路是可行的，问题出在首次创建必须分两步执行、手动跳控制台改值的流程。不需要调整现有密钥管理逻辑，只需要改几行配置就能实现单次terraform apply完成全量部署，下面是两个可直接复用的方案：

方案1：保留手动维护SSM密钥的习惯，完全移除-target依赖 #

这个方案适配你当前手动在AWS控制台维护密钥真实值的运维流程，不需要改操作习惯，只需要调整Terraform配置让资源自动判断参数存在状态：

# 提前探测目标路径的SSM参数是否已存在
data "aws_ssm_parameter" "existing_example" {
  name = "/${terraform.workspace}/${local.app}/username"

  lifecycle {
    postcondition {
      condition     = can(data.aws_ssm_parameter.existing_example.value) || true
      error_message = "SSM parameter existence check failed"
    }
  }
}

resource "aws_ssm_parameter" "example" {
  name  = "/${terraform.workspace}/${local.app}/username"
  type  = "SecureString"
  # 参数已存在时填任意占位值即可，未存在时用默认占位值创建
  value = can(data.aws_ssm_parameter.existing_example.value) ? "placeholder" : "default"

  lifecycle {
    ignore_changes = [value]
  }
}

配置逻辑说明：

• 首次执行terraform apply时，目标SSM参数不存在，会直接创建值为default的SecureString参数，全量资源（包括ECS服务）会一次性创建完成，不需要加-target
• 后续你在控制台手动更新的真实密钥值，永远不会被Terraform覆盖，因为ignore_changes规则会忽略value字段的所有变更
• 首次apply完成后ECS任务拿到的是默认占位值，只需要更新完SSM真实值后重启对应ECS任务即可，不需要二次执行Terraform全量apply。如果需要首次启动就拿到真实密钥，用方案2。

方案2：敏感变量注入真实密钥，全程无需登录控制台 #

如果要省掉首次部署后手动改值、重启任务的步骤，就把密钥定义为Terraform敏感变量，执行apply时通过安全渠道传入，不需要把密钥写在任何Terraform配置文件中：

# 定义敏感变量，不会在Terraform执行输出中明文展示
variable "ssm_username_value" {
  type        = string
  sensitive   = true
  description = "Real value for SSM username parameter"
  default     = null
}

resource "aws_ssm_parameter" "example" {
  name  = "/${terraform.workspace}/${local.app}/username"
  type  = "SecureString"
  # 传入变量非空时写入真实值，为空时用占位值不覆盖已有配置
  value = var.ssm_username_value != null ? var.ssm_username_value : "placeholder"

  lifecycle {
    ignore_changes = [value]
  }
}

首次部署时通过环境变量传入真实密钥即可，不会把密钥留在命令历史或配置文件中：

export TF_VAR_ssm_username_value="你的真实密钥值"
terraform apply

方案特性：

• 首次apply会直接把传入的真实密钥写入SSM参数，ECS服务启动时直接读取到正确值，不需要登录控制台操作
• 后续执行apply不需要再传入该环境变量，变量为null时配置会使用占位值，配合ignore_changes规则不会覆盖已经存储的真实密钥
• 全流程只需要执行一次terraform apply，完全不需要-target参数

• 禁止把任何密钥硬编码在.tf配置文件中，敏感变量优先通过环境变量、CI/CD平台的加密秘密变量注入，不要通过命令行明文传参，避免密钥泄露在shell历史记录中
• 如果后续需要批量管理密钥，也可以替换为AWS Secrets Manager服务，ECS原生支持直接引用Secrets Manager存储的密钥，不需要额外在Terraform中维护参数值，仅会产生极低的存储费用

内容的提问来源于stack exchange，提问作者George Paul