如何使用Terraform处理AWS中的共享安全组资源复用问题

方案1：预导入现有安全组到Terraform状态（适合安全组后续由Terraform统一管理的场景） #

• 不需要手动检查安全组是否存在，提前把已有的安全组导入到Terraform状态文件即可，操作步骤如下：
  1. 先在Terraform代码中定义对应安全组的资源块，所有配置必须和现存安全组完全对齐，示例：

  resource "aws_security_group" "a" {
    name        = "安全组A的实际名称"
    description = "安全组A的实际描述"
    vpc_id      = "安全组所属VPC的ID"
    # 入站、出站规则、标签等所有配置要和现存安全组完全一致
  }
  resource "aws_security_group" "b" {
    # 同上对齐安全组B的现有配置
  }
  resource "aws_security_group" "c" {
    # 同上对齐安全组C的现有配置
  }
  

  2. 执行import命令把现有资源导入Terraform状态：

  terraform import aws_security_group.a sg-xxxxxx # 替换为安全组A的实际ID
  terraform import aws_security_group.b sg-xxxxxx # 替换为安全组B的实际ID
  terraform import aws_security_group.c sg-xxxxxx # 替换为安全组C的实际ID
  

  3. 执行terraform plan验证，确认返回结果中没有安全组的创建/修改类变更，之后新资源关联直接引用资源属性即可，示例：

  resource "aws_instance" "new_server" {
    # 其他实例配置省略
    vpc_security_group_ids = [aws_security_group.a.id, aws_security_group.b.id, aws_security_group.c.id]
  }
  

方案2：使用数据源动态获取现有安全组（适合安全组不由当前Terraform栈管理的场景） #

• 如果你不需要用Terraform修改这些共享安全组的配置，仅需要关联使用，可以直接用data数据源动态查询，不需要执行import操作，示例：

# 按名称+VPC维度查询已存在的安全组
data "aws_security_group" "a" {
  name   = "安全组A的实际名称"
  vpc_id = "安全组所属VPC的ID"
}
data "aws_security_group" "b" {
  name   = "安全组B的实际名称"
  vpc_id = "安全组所属VPC的ID"
}
data "aws_security_group" "c" {
  name   = "安全组C的实际名称"
  vpc_id = "安全组所属VPC的ID"
}

# 新资源关联时直接引用数据源返回的ID
resource "aws_instance" "new_server" {
  # 其他实例配置省略
  vpc_security_group_ids = [data.aws_security_group.a.id, data.aws_security_group.b.id, data.aws_security_group.c.id]
}

• 注意：如果查询的安全组不存在，执行terraform plan时会直接抛出错误，不需要额外手动做存在性检查。

选型建议 #

• 后续这些共享安全组的规则、配置也要迁移到Terraform维护，选方案1
• 安全组的生命周期由其他系统维护、当前Terraform栈仅需关联使用，选方案2
• 两种方案都不会触发安全组的重复创建，无需额外写自定义逻辑做安全组存在性校验。

内容的提问来源于stack exchange，提问作者Darko Miletic