Terraform批量部署资源如何不硬编码配置独立密码并实现交互输入

1. 定义敏感密码变量 #

在你的变量定义文件（通常是variables.tf）中新增如下变量：

variable "ingest_passwords" {
  type        = map(string)
  description = "每个租户对应的独立密码，键与ingest_parameters的键一一对应"
  sensitive   = true # 标记为敏感，输入不回显，日志输出会隐藏
}

因为该变量没有设置默认值，执行terraform plan或terraform apply时，Terraform会自动交互式提示你输入该变量的值，你只需要按照map格式输入对应密码即可，示例输入格式：
{x1="密码1",x2="密码2",x3="密码3",x4="密码4"}

2. 修改模块调用参数 #

将模块调用中的密码参数改为从密码变量中按当前租户键取值：

module "ingest_other" {
  for_each                                   = var.ingest_parameters
  source                                     = "./ingest_rest"
  tenant                                     = each.key
  ingest_ENV_GROUPID                         = each.value.ENV_GROUPID
  ingest_ENV_TOPIC                           = each.value.ENV_TOPIC
  ingest_ENV_USERNAME                        = each.value.ENV_USERNAME
  ingest_ENV_PASSWORD                        = var.ingest_passwords[each.key] # 按租户匹配对应密码
}

3. 修正模块内的环境变量赋值 #

你当前模块内的变量引用被包裹在双引号中，会被识别为普通字符串而非变量值，需要修改为直接引用变量：

environment_variables = format("[ %s ]", join(", ", tolist([
  jsonencode(tomap({
    name  = "GROUPID"
    value = var.ingest_ENV_GROUPID # 去掉外层双引号，直接引用变量
  })),
  jsonencode(tomap({
    name  = "TOPIC"
    value = var.ingest_ENV_TOPIC
  })),
  jsonencode(tomap({
    name  = "USERNAME"
    value = var.ingest_ENV_USERNAME
  })),
  jsonencode(tomap({
    name  = "PASSWORD"
    value = var.ingest_ENV_PASSWORD
  }))
])))

• 所有敏感类配置统一标记sensitive = true，避免Terraform在控制台输出、状态文件之外的位置泄露敏感信息。
• 非交互场景下可以使用环境变量传值：Terraform会自动读取前缀为TF_VAR_的环境变量作为变量值，提前设置export TF_VAR_ingest_passwords='{x1="密码1",x2="密码2"}'即可跳过交互式输入。
• 生产环境推荐对接外部密钥管理系统（如HashiCorp Vault、云厂商密钥管理服务）拉取密码，完全避免密码明文存储和手动输入。
• 如果担心交互式输入map格式容易出错，也可以拆分定义4个独立的密码变量，不过租户数量较多时map类型的维护成本更低。

内容的提问来源于stack exchange，提问作者kain666