如何在Terraform中将敏感数据注入JSON文件 避免密钥密码明文存储

核心实现依赖你提到的jsondecode和jsonencode函数，完全可以满足需求，具体操作步骤如下：

1. 准备无敏感数据的JSON模板 #

把需要存的非敏感配置直接写在JSON文件中，敏感字段留空或者填任意占位值即可，示例模板app_config_template.json内容如下：

{
  "service_name": "my-business-service",
  "listen_port": 8090,
  "database_password": "",
  "third_party_api_secret": ""
}

2. 读取模板并注入敏感数据 #

你已经实现了从Vault或S3读取敏感数据的逻辑，只需要新增模板解析、注入、重新编码的逻辑即可，Terraform代码示例：

locals {
  # 读取本地JSON模板并转为Terraform可操作的对象
  config_template = jsondecode(file("${path.module}/app_config_template.json"))

  # 此处替换为你自己的敏感数据读取逻辑
  db_password = data.vault_generic_secret.database_cred.data["password"]
  api_secret = data.aws_s3_object.sensitive_config.body

  # 合并模板配置和敏感数据，生成完整配置对象
  # 结构简单的配置直接用merge函数即可
  final_config = merge(
    local.config_template,
    {
      database_password = local.db_password
      third_party_api_secret = local.api_secret
    }
  )

  # 将完整配置对象重新编码为JSON字符串，直接供给后续资源使用
  final_config_json = jsonencode(local.final_config)
}

3. 嵌套结构JSON的注入处理 #

如果你的配置是多层嵌套结构，只需要逐层merge对应层级的字段即可，示例如下：

嵌套结构模板示例 #

{
  "service": "order-service",
  "database": {
    "host": "172.16.0.10",
    "port": 5432,
    "user": "order_user",
    "password": ""
  }
}

对应注入逻辑 #

final_config = merge(
  local.config_template,
  {
    database = merge(
      local.config_template.database,
      { password = local.db_password }
    )
  }
)

注意事项 #

• 不需要在JSON模板中写Terraform插值语法，保持JSON原生格式即可，避免语法冲突
• Terraform会自动识别final_config_json中的敏感字段，执行plan/apply时不会明文输出，Terraform版本>=0.14时还会自动跟踪敏感值，避免意外泄露
• 后续需要把JSON发送到目标设备时，直接引用local.final_config_json即可，不需要额外处理

内容的提问来源于stack exchange，提问作者RukshanK