如何通过Terraform传入变量实现SSE-KMS服务端加密的启停？

完全可以通过Terraform实现SSE-KMS加密的启用与禁用，且支持仅通过传入变量的方式完成操作，无需修改核心资源定义代码。

• 第一步：定义控制变量
  在variables.tf文件中新增布尔类型的开关变量，示例代码如下：

variable "enable_sse_kms" {
  type        = bool
  default     = true
  description = "控制是否启用SSE-KMS服务端加密"
}

• 第二步：给资源配置绑定变量逻辑
  以AWS S3桶的SSE-KMS配置为例，通过count参数控制加密资源是否生效，示例如下：

# S3桶资源示例
resource "aws_s3_bucket" "example" {
  bucket = "your-bucket-name"
}

# KMS密钥示例（可复用已有密钥）
resource "aws_kms_key" "example" {
  description = "KMS密钥用于S3桶服务端加密"
}

# SSE-KMS加密配置资源
resource "aws_s3_bucket_server_side_encryption_configuration" "example" {
  count  = var.enable_sse_kms ? 1 : 0
  bucket = aws_s3_bucket.example.bucket

  rule {
    apply_server_side_encryption_by_default {
      kms_master_key_id = aws_kms_key.example.arn
      sse_algorithm     = "aws:kms"
    }
  }
}

• 第三步：通过变量控制加密启停
  执行Terraform命令时直接传入变量值即可切换状态：
  • 启用加密：terraform apply -var="enable_sse_kms=true"
  • 禁用加密：terraform apply -var="enable_sse_kms=false"
    也可以直接修改.tfvars文件中对应变量的取值完成切换。

如果你使用的是4.0版本以下的AWS Provider，SSE配置是内嵌在aws_s3_bucket资源中的，无需单独声明加密配置资源，直接通过三元表达式控制加密参数即可，示例如下：

resource "aws_s3_bucket" "example" {
  bucket = "your-bucket-name"
  server_side_encryption_configuration {
    rule {
      apply_server_side_encryption_by_default {
        kms_master_key_id = var.enable_sse_kms ? aws_kms_key.example.arn : null
        sse_algorithm     = var.enable_sse_kms ? "aws:kms" : null
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者abhsihek