Terraform设置敏感变量后state文件仍存储密码该如何解决

Terraform中变量的sensitive = true参数仅作用于命令行输出阶段：会阻止敏感值在plan、apply、output的打印结果中明文展示，但不会阻止敏感值写入Terraform状态文件，这是Terraform的原生设计逻辑——状态文件需要记录资源的所有实际属性值，用于后续和云端资源做一致性比对，所以只要你在资源参数中传入了明文敏感值，该值必然会被写入状态文件。

• 优先保障状态文件的存储安全
  不要使用本地状态存储，切换到加密的远程后端：比如AWS S3（开启服务端加密+版本控制+细粒度IAM访问权限，仅开放给必要的运维身份）、Terraform Cloud等，从存储层面避免敏感值泄露。手动删除状态文件中的字段是错误操作，会导致状态和实际资源不匹配，触发配置漂移问题，不建议这么做。
• 使用云厂商托管的密钥服务传递敏感值
  不要直接在Terraform配置中传递明文密码，将敏感值提前存入云厂商的托管密钥服务（比如AWS Secrets Manager、阿里云KMS密钥服务、Azure Key Vault），创建资源时仅传入密钥的唯一标识（ARN/ID），由资源侧自行拉取解密后的敏感值。这种方案下Terraform状态文件中只会存储密钥标识，不会出现明文密码。
  示例逻辑：

  # 提前在Secrets Manager中创建好密码，仅引用其ARN
  resource "aws_db_instance" "default" {
    engine               = "mysql"
    instance_class       = "db.t3.micro"
    # 直接引用Secrets Manager的ARN，不传入明文
    manage_master_user_password = true
    master_user_secret {
      secret_arn = aws_secretsmanager_secret.master_pass.arn
    }
  }
  

• 将敏感配置移出Terraform管理范围
  如果不需要Terraform维护密码类配置，可以在资源定义中添加ignore_changes规则忽略敏感字段的比对，后续使用Ansible等其他配置管理工具单独设置密码，此时Terraform状态文件不会记录该字段的具体值。
  示例：

  resource "aws_db_instance" "default" {
    # 其他配置省略
    lifecycle {
      ignore_changes = [master_password]
    }
  }
  

内容的提问来源于stack exchange，提问作者Adi334