Terraform仅当变量存在时为AWS EC2传入user_data的方法

需求说明 #

使用Terraform管理AWS EC2实例时，需要实现逻辑：

• 执行terraform apply时如果传入了var.token变量，则给实例传入依赖该token的user_data配置
• 如果未传入var.token，则完全不为实例配置user_data

原有配置问题 #

最初直接在资源块内硬编码user_data、以及后续尝试封装template_cloudinit_config数据源的方案，都缺少正确的条件判断逻辑：不管var.token是否传入，都会固定渲染user_data内容，无法实现按需配置的效果，甚至会因为token为空导致启动脚本执行异常。

实现步骤 #

前置配置 #

首先定义var.token变量时设置默认值为null，保证未传参时变量值为空标识：

variable "token" {
  type        = string
  default     = null
  description = "启动脚本依赖的鉴权token，不传则不配置实例user_data"
}

方案1：无需cloudinit多段配置的最简实现 #

如果不需要组合多段cloudinit配置，直接在aws_instance资源块内通过三元表达式判断即可，未传token时给user_data参数传null，Terraform会直接跳过该参数配置，不会给实例传递任何user_data：

resource "aws_instance" "publisher_instance" {
  ami                    = var.publisher_instance_ami
  instance_type          = var.publisher_instance_type
  subnet_id              = aws_subnet.subnet2.id
  key_name               = var.key_name
  vpc_security_group_ids = [aws_security_group.publisher_security_group.id]
  tags = {
    Name = "${local.workspace["name"]}-Test"
  }

  # 核心条件判断：token存在则传入脚本，否则传null跳过配置
  user_data = var.token != null ? <<-EOF
    #!/bin/bash
    /home/centos/launch -token ${var.token}
    yum update -y
  EOF : null
}

方案2：保留template_cloudinit_config数据源的实现 #

如果后续需要扩展多段cloudinit配置，可以给数据源加count元参数，仅当token存在时才渲染数据源，避免空值导致脚本异常：

data "template_cloudinit_config" "userdata" {
  # 仅token存在时才创建该数据源实例
  count         = var.token != null ? 1 : 0
  gzip          = false
  base64_encode = false
  part {
    content_type = "text/x-shellscript"
    content      = <<-EOF
      #!/bin/bash
      /home/centos/launch -token ${var.token}
      yum update -y
    EOF
  }
}

在EC2资源块内引用数据源渲染结果，同样通过三元表达式控制：

resource "aws_instance" "publisher_instance" {
  ami                    = var.publisher_instance_ami
  instance_type          = var.publisher_instance_type
  subnet_id              = aws_subnet.subnet2.id
  key_name               = var.key_name
  vpc_security_group_ids = [aws_security_group.publisher_security_group.id]
  tags = {
    Name = "${local.workspace["name"]}-Test"
  }

  user_data = var.token != null ? data.template_cloudinit_config.userdata[0].rendered : null
}

注意事项 #

• 不要在未传token时给user_data传空字符串，空字符串会被AWS识别为配置了空user_data，会触发不必要的实例更新，和「完全不配置user_data」的效果不一致
• 带count的数据源引用时必须加[0]索引，count为0时数据源为空列表，不会触发插值计算，不会出现引用错误

内容的提问来源于stack exchange，提问作者Jack