跨Terraform部署模块获取aws_iam_access_key secret值问题咨询

核心问题根因 #

你两次方案失败的核心原因有两个：

1. 给aws_iam_access_key配置了pgp_key参数后，该资源不会返回明文的secret属性，仅会返回加密后的encrypted_secret，因此你在SSM参数配置中引用aws_iam_access_key.sqs_write.secret属于引用不存在的属性，才会抛出value参数缺失的报错。
2. 直接导出敏感值为output时没有显式配置sensitive = true，Terraform会默认屏蔽敏感属性的导出，导致remote_state读取不到对应输出。

可行方案 #

方案1：移除PGP加密，通过remote_state直接传递敏感值 #

如果不需要强制用PGP加密密钥，直接去掉aws_iam_access_key的pgp_key参数，即可获得明文secret属性，再通过敏感output跨模块传递：

1. 修改sqs目录的IAM访问密钥配置

resource "aws_iam_access_key" "sqs_write" {
  user = aws_iam_user.sqs_write.name
  # 移除pgp_key配置
}

2. 在sqs目录的outputs.tf中添加敏感输出

output "sqs_write_access_key_secret" {
  value     = aws_iam_access_key.sqs_write.secret
  sensitive = true
}

3. 在ecs目录中通过remote_state引用

data "terraform_remote_state" "sqs" {
  backend = "s3" # 替换为你实际使用的后端类型，配置和sqs模块的后端保持一致
  config = {
    bucket = "你的tfstate存储桶名"
    key    = "sqs模块的tfstate路径"
    region = "对应区域"
  }
}

# 直接引用即可，Terraform会自动处理敏感标记，不会明文输出到日志
locals {
  sqs_write_secret = data.terraform_remote_state.sqs.outputs.sqs_write_access_key_secret
}

方案2：保留PGP加密，在ecs模块内解密 #

如果必须保留PGP加密逻辑，可直接传递加密后的密文，在ecs模块中用Terraform内置的pgp_decrypt函数解密，前提是运行Terraform的环境有权限访问PGP私钥：

1. 在sqs目录的outputs.tf中输出加密后的密文

output "sqs_write_encrypted_secret" {
  value = aws_iam_access_key.sqs_write.encrypted_secret
}

2. 在ecs目录中解密使用

data "terraform_remote_state" "sqs" {
  # 配置同方案1
}

locals {
  sqs_write_secret = pgp_decrypt(
    data.terraform_remote_state.sqs.outputs.sqs_write_encrypted_secret,
    file("本地PGP私钥路径")
  )
}

方案3：通过SSM Parameter Store存储传递（修正你的错误配置） #

如果不想把敏感值存在tfstate中，优先用这个方案，首先修正你之前的SSM配置错误：

1. 移除aws_iam_access_key的pgp_key配置，获取明文secret
2. 修正SSM参数配置，用SecureString类型存储敏感值，密钥ID换成SSM支持的密钥

resource "aws_ssm_parameter" "write_secret" {
  name        = "sqs-queue-name-write-secret-access-key"
  description = "SQS write secret access key"
  key_id      = "alias/aws/ssm" # 不要用Secrets Manager的密钥，SSM默认用自己的托管密钥
  type        = "SecureString" # 不要用String存敏感数据
  value       = aws_iam_access_key.sqs_write.secret
  overwrite   = true
}

3. 在ecs目录中通过数据源读取，自动解密

data "aws_ssm_parameter" "sqs_write_secret" {
  name             = "sqs-queue-name-write-secret-access-key"
  with_decryption  = true
}

locals {
  sqs_write_secret = data.aws_ssm_parameter.sqs_write_secret.value
}

注意事项 #

• 所有涉及敏感值的output必须显式添加sensitive = true，避免明文泄露
• tfstate文件本身需要加密存储，限制访问权限，避免敏感值泄露
• 生产环境优先选择SSM Parameter Store或Secrets Manager存储敏感数据，不要直接通过remote_state传递敏感值

内容的提问来源于stack exchange，提问作者Julien B.