Terraform实现AWS安全组每个IP对应独立ingress规则的方法

问题场景 #

原有安全组入站规则将所有放行IP统一放在单个ingress块的cidr_blocks列表中，无法为单个IP配置独立描述，手动为每个IP逐一声明ingress块会产生大量冗余配置。
原有配置示例：

ingress {
    from_port = 443
    to_port = 443
    protocol = "tcp"
    cidr_blocks = ["x", "y", "z" ...]
    description = ""
    security_groups = ["c", "v", "b" ...]
}

常见错误写法 #

最初尝试的列表遍历写法无法达到预期效果，错误配置如下：

locals {
  ips = ["x","y","z"]
  descriptions = ["x", "y", "z"]
}

dynamic "ingress" {
  for_each = local.ips
  content {
    from_port = 443
    to_port = 443
    protocol = "tcp"
    cidr_blocks = local.ips
    description = local.descriptions
  }
}

该写法存在两个核心问题：

• 遍历字符串列表时，迭代对象ingress.value是单个字符串类型的IP值，不存在嵌套属性，访问ingress.value.ips会直接触发类型报错
• 块内的cidr_blocks和description直接引用了完整的本地列表，没有绑定当前迭代的单个元素，即使跳过报错也会生成多条包含全部IP、描述为整个列表的重复规则，完全不符合单IP单规则的需求

运行该配置触发的报错信息如下：

│ Error: Unsupported attribute
│ 
│   on secgroups.tf line 36, in resource "aws_security_group" "alb":
│   36:       cidr_blocks = ingress.value.ips
│     ├────────────────
│     │ ingress.value is "x.x.x.x/x"
│ 
│ Can't access attributes on a primitive-typed value (string).

正确实现方案 #

使用Map类型存储IP与对应描述的映射关系，配合dynamic动态块遍历Map，即可自动生成每个IP对应独立描述的入站规则，无需重复手写ingress块。
可用配置如下：

locals {
  ips = {
    "x" = "x"
    "y" = "y"
    "z" = "z"
  }
}

dynamic "ingress" {
  for_each = local.ips
  content {
    from_port   = 443
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = [ingress.key]
    description = ingress.value
  }
}

配置逻辑说明：

• 本地变量ips为键值对结构，键为需要放行的IP段，值为该IP对应的规则描述
• 动态块遍历Map时，ingress.key对应当前迭代项的IP地址，包装为单元素列表传给cidr_blocks；ingress.value对应当前IP的描述，传给description参数
• 最终会为Map中每一个IP生成独立的入站规则，后续新增、删除、修改IP和对应描述只需要维护local.ips中的键值对即可，不会产生冗余配置。

如果需要同时为关联的安全组生成带独立描述的规则，只需要新增一个存储安全组ID和对应描述的Map，再编写一个结构相同的动态ingress块遍历该Map即可。

内容的提问来源于stack exchange，提问作者TFaws