如何通过Terraform导入GCP密钥并同步至K8s且不覆盖原有值

问题根因 #

强制替换提示的核心原因是google_secret_manager_secret_version资源的secret_data属于不可变属性，一旦配置值与GCP实际存储的密文值不一致，Terraform就会触发删除重建逻辑。你当前配置里secret_data = ""和手动创建的Secret版本实际存储的密码值不匹配，因此Plan阶段会提示替换资源。

解决方案 #

推荐优先选择方案一，无需导入资源也不存在覆盖密文的风险：

方案一：使用数据源读取现有Secret版本（推荐） #

你不需要将手动创建的Secret版本声明为Terraform托管资源，直接用data数据源读取已有Secret的值即可，完全不需要配置secret_data，也不会修改GCP上的现有密文：

# 原有Secret资源保留不变
resource "google_secret_manager_secret" "pgbouncer-secret-uat" {
  provider = google-beta

  secret_id = "pgbouncer-secret-uat"

  replication {
    automatic = true
  }

  depends_on = [google_project_service.secretmanager]
}

# 用数据源读取已有的Secret版本内容，不需要import
data "google_secret_manager_secret_version" "pgbouncer-secret-uat-v1" {
  provider = google-beta
  secret   = google_secret_manager_secret.pgbouncer-secret-uat.id
  version  = "1" # 填你实际的版本号，也可以填"latest"取最新版本
}

# 后续写入K8s Secret时直接引用数据源的输出即可
resource "kubernetes_secret" "pgbouncer_db_secret" {
  metadata {
    name = "pgbouncer-db-secret"
  }
  data = {
    password = data.google_secret_manager_secret_version.pgbouncer-secret-uat-v1.secret_data
  }
}

方案二：保留资源声明，添加变更忽略规则 #

如果你确实需要将Secret版本纳入Terraform资源管理，可以在google_secret_manager_secret_version资源块中添加lifecycle.ignore_changes规则，忽略secret_data字段的变更对比，Terraform就不会因为该字段值不一致触发资源替换：

resource "google_secret_manager_secret_version" "pgbouncer-secret-uat-v1" {
  provider = google-beta

  secret      = google_secret_manager_secret.pgbouncer-secret-uat.id
  secret_data = ""

  # 新增以下规则，忽略secret_data的变更校验
  lifecycle {
    ignore_changes = [secret_data]
  }
}

配置更新后重新执行terraform plan就不会再出现强制替换的提示。

内容的提问来源于stack exchange，提问作者sc-leeds