如何避免Terraform每次执行plan时询问已存于AWS Secrets Manager的变量值

你当前配置中secret_api_key变量未设置默认值，且aws_secretsmanager_secret_version资源的secret_string直接绑定该变量，Terraform 每次执行plan/apply时都需要校验变量值是否与状态匹配，因此会反复要求输入密钥。

方案1：拆分密钥管理与业务配置（推荐） #

将密钥创建逻辑和业务资源逻辑拆分到两个独立的Terraform工作目录：

• 第一个目录仅保留密钥创建相关配置，仅首次执行apply时输入密钥完成Secret Manager资源创建，后续无需再执行该目录的配置
• 第二个目录保留业务资源（Lambda、S3等）和aws_secretsmanager_secret/aws_secretsmanager_secret_version数据源配置，完全移除secret_api_key变量定义，后续执行业务配置的plan/apply时不会触发变量校验，自然不需要输入密钥

该方案符合权限分离最佳实践，避免业务配置操作密钥资源，安全性最高。

方案2：添加条件逻辑复用已有密钥 #

调整现有配置，添加预查逻辑优先读取已存的Secret Manager值，仅首次需要输入密钥：

# 预查是否已存在对应密钥
data "aws_secretsmanager_secret" "existing_secret" {
  name  = "secret_api_key"
  count = can(data.aws_secretsmanager_secret.existing_secret) ? 1 : 0
}

data "aws_secretsmanager_secret_version" "existing_secret" {
  secret_id = one(data.aws_secretsmanager_secret.existing_secret[*].id, null)
  count     = length(data.aws_secretsmanager_secret.existing_secret) > 0 ? 1 : 0
}

# 变量设置空默认值，避免强制要求输入
variable "secret_api_key" {
  type      = string
  sensitive = true
  default   = ""
}

resource "aws_secretsmanager_secret" "secret_api_key" {
  name = "secret_api_key"
}

resource "aws_secretsmanager_secret_version" "secret_api_key" {
  secret_id     = aws_secretsmanager_secret.secret_api_key.id
  secret_string = var.secret_api_key != "" ? var.secret_api_key : data.aws_secretsmanager_secret_version.existing_secret[0].secret_string

  lifecycle {
    # 忽略secret_string变更，避免后续误覆盖已存密钥
    ignore_changes = [secret_string]
  }
}

首次执行时传入密钥即可：
terraform apply -var="secret_api_key=你的实际密钥值"
后续执行无需传该变量，Terraform会自动读取Secret Manager中已存的密钥值，不会再弹出输入提示。

方案3：通过环境变量传入密钥 #

在执行Terraform的环境中设置对应前缀的环境变量，Terraform会自动读取作为变量值：

# Linux/Mac 环境设置
export TF_VAR_secret_api_key=你的实际密钥值
# Windows PowerShell 环境设置
$env:TF_VAR_secret_api_key = "你的实际密钥值"

该方案无需调整配置，适合本地临时执行场景，注意不要在明文日志、脚本中泄露密钥值。

• 不要将密钥明文写入.tfvars文件提交到代码仓库，避免密钥泄露
• 采用方案2时确保添加ignore_changes配置，避免后续误操作覆盖已存的密钥值

内容的提问来源于stack exchange，提问作者Dimi