配置含敏感值与正则校验的Terraform map(object{})变量时for_each兼容方案咨询

错误原因说明 #

你遇到的报错核心原因是：给整个vmmacc_map变量设置了sensitive = true标记，导致Terraform判定整个map的所有内容（包括键）都是敏感值。而for_each的实例键会出现在执行计划、状态文件中，Terraform为了避免敏感值泄露，禁止将全敏感的map作为for_each参数。
下面提供两种适配不同场景的解决方案： #

方案1：仅标记对象内敏感字段（推荐，适用于Terraform 1.7及以上版本） #

不需要给整个map变量加sensitive标记，直接在类型定义中为password字段单独标记敏感属性，既可以保留字段的敏感性，又不会让map的键和其他非敏感字段被判定为敏感，for_each可以正常使用，同时也不影响正则校验逻辑。
修改后的variables.tf示例：

variable "vmmacc_map" {
  type = map(object( {
    name         = string
    password     = sensitive(string) # 仅标记密码字段为敏感
    username     = string  
  }))
  # 移除原来的全局sensitive = true配置
  validation {
    # 示例：校验所有username符合命名规则，可根据你的需求修改正则
    condition = alltrue([
      for acc in values(var.vmmacc_map) : can(regex("^svc_aci_vmm-.*", acc.username))
    ])
    error_message = "所有vmm账号的username必须以svc_aci_vmm-为前缀。"
  }
}

main.tf不需要做任何修改，原有for_each逻辑可以直接运行，password字段的敏感性会被保留，不会在日志、输出中明文展示。 #

方案2：拆分非敏感for_each数据源（适用于Terraform 1.7以下版本） #

如果你的Terraform版本不支持单个属性标记敏感，可以将for_each的数据源和敏感属性拆分，单独构造一个仅包含非敏感内容的local变量供for_each使用，敏感值仍从原变量中读取。

1. 新增local变量定义：

locals {
  # 提取所有非敏感的键和非敏感属性，构造for_each专用的非敏感map
  vmmacc_for_each = { for k, v in var.vmmacc_map : k => {
    name     = v.name
    username = v.username
  }}
}

2. 修改资源的for_each配置：

resource "aci_vmm_credential" "vmmcredLocalName" {
  for_each = local.vmmacc_for_each
  vmm_domain_dn  = aci_vmm_domain.vmmdomainLocalName[each.key].id
  name  = each.value.name
  annotation = "orchestrator:terraform"
  pwd = var.vmmacc_map[each.key].password # 从原敏感变量中读取密码
  usr = each.value.username
}

3. 原有variables.tf的全局sensitive = true和校验逻辑可以保留，不需要修改。

注意事项 #

• 正则校验规则尽量不要涉及敏感字段的内容匹配，如果必须校验敏感字段，不要在校验错误信息中输出字段原始值，避免敏感内容泄露。
• 方案2的vmmacc_for_each变量中不要包含任何敏感属性，确保for_each的数据源完全非敏感。

内容的提问来源于stack exchange，提问作者RobWieters