如何在Terraform中使用data数据源的值配置变量及替代方案

Terraform 要求变量（variable）的默认值必须为静态字面量，禁止引用数据源、资源、其他变量等动态计算的内容，这是你触发错误的根本原因。

核心是通过本地值（local） 合并静态变量配置和从Secret Manager获取的动态值，本地值支持引用动态数据源。

1. 调整variables.tf #

移除变量默认值中的动态Secret引用，只保留静态配置项：

data "google_secret_manager_secret_version" "my_secret" {
  secret = "my-secret"
}

variable "clients" {
  description = "clients data"
  default = [
    {
      id           = { stringValue = "test" }
      eventType    = { stringValue = "something" }
    }
  ]
}

2. 新增本地值拼接动态配置 #

你可以在任意.tf文件（推荐和变量/资源放在同文件便于维护）中添加local块，把动态获取的密钥拼入客户端配置：

locals {
  processed_clients = [
    for client in var.clients : merge(client, {
      clientSecret = { stringValue = data.google_secret_manager_secret_version.my_secret.secret_data }
    })
  ]
}

3. 修改main.tf资源引用 #

将原来引用var.clients的逻辑替换为引用处理后的本地值：

resource "google_firestore_document" "clients" {
  for_each = {
    for index, client in local.processed_clients :
    index => client
  }
  project     = var.project_id
  collection  = "clients"
  document_id = each.value.id.stringValue
  fields      = jsonencode(each.value)
}

如果不同客户端需要读取不同的Secret Manager密钥，只需调整配置存储每个客户端对应的Secret名称，批量读取后匹配即可：

1. 修改变量配置，新增secret_name字段存储对应密钥名
2. 用for_each批量读取所有需要用到的密钥
3. 本地值匹配每个客户端对应的密钥值完成拼接

内容的提问来源于stack exchange，提问作者Reza