如何通过Terraform获取Vault中存储的密钥数据

1. 配置Terraform Vault Provider #

首先在你的Terraform配置文件中声明并配置Vault provider，确保provider版本和你当前运行的Vault服务版本兼容：

terraform {
  required_providers {
    vault = {
      source  = "hashicorp/vault"
      version = "~> 3.0" # 根据你的Vault版本调整适配的版本号
    }
  }
}

provider "vault" {
  address = "https://your-vault-server-address:8200" # 替换为你的Vault服务地址
  # 不要硬编码Vault token！推荐通过VAULT_TOKEN环境变量自动读取，此处仅做示例
  # token = "your-vault-token"
}

配置前请确保你使用的Vault账号/令牌有对应密钥路径的读取权限。

2. 确认密钥存储信息 #

先确认你在Vault UI中创建密钥时的两个核心信息：

• KV Secrets Engine的版本：是KV v1还是KV v2
• 密钥的完整存储路径，比如你在路径secret/myapp/database下存储了username、password两个key

3. 拉取Vault中的密钥 #

根据你使用的KV引擎版本选择对应数据源：

场景1：使用KV v2引擎（Vault默认创建的KV引擎多为v2版本） #

使用vault_kv_secret_v2数据源拉取密钥：

data "vault_kv_secret_v2" "db_creds" {
  mount = "secret" # 替换为你的KV引擎挂载路径
  name  = "myapp/database" # 替换为你的密钥存储路径（去掉挂载前缀后的部分）
}

# 读取密钥值的方式示例，比如拿到password字段
locals {
  db_password = data.vault_kv_secret_v2.db_creds.data["password"]
}

场景2：使用KV v1引擎 #

使用vault_kv_secret_v1数据源拉取密钥：

data "vault_kv_secret_v1" "db_creds" {
  path = "secret/myapp/database" # 替换为你的密钥完整存储路径
}

# 读取密钥值的方式示例
locals {
  db_password = data.vault_kv_secret_v1.db_creds.data["password"]
}

注意事项 #

• 禁止在Terraform代码中硬编码Vault认证令牌，推荐通过VAULT_ADDR、VAULT_TOKEN系统环境变量传递认证信息
• 拉取到的敏感密钥如果需要输出，必须添加sensitive = true配置，避免在Terraform执行日志中明文泄露
• 确保Vault端已经为当前使用的认证身份配置了对应密钥路径的read权限

内容的提问来源于stack exchange，提问作者Anand Rajagopal