如何将Terraform新建资源ID传递到AWS Lambda无服务模板或CloudFormation模板

不推荐使用公共文件夹存储资源ID的原因 #

• 无内置权限控制，敏感网络配置容易泄露
• 没有版本追踪，资源更新后容易出现引用过期值的问题
• 需要额外维护文件读写逻辑，出错概率高
• 不符合AWS云原生的资源引用最佳实践

推荐方案1：使用Terraform输出 + AWS Parameter Store（适用跨技术栈团队共享） #

直接将创建好的资源ID写入AWS Systems Manager Parameter Store，自带权限控制、版本管理能力，其他团队用CloudFormation/Serverless框架都可以直接动态引用，不需要额外中间存储。

Terraform侧写入代码示例 #

# 假设已在Terraform中创建VPC和子网资源
resource "aws_vpc" "main" {
  cidr_block = "10.0.0.0/16"
}

resource "aws_subnet" "private" {
  count      = 3
  vpc_id     = aws_vpc.main.id
  cidr_block = cidrsubnet(aws_vpc.main.cidr_block, 8, count.index)
}

# 写入VPC ID到参数存储
resource "aws_ssm_parameter" "vpc_id" {
  name  = "/shared/network/main_vpc_id"
  type  = "String"
  value = aws_vpc.main.id
  tags = {
    shared = "true"
  }
}

# 写入子网ID列表到参数存储
resource "aws_ssm_parameter" "private_subnet_ids" {
  name  = "/shared/network/private_subnet_ids"
  type  = "StringList"
  value = join(",", aws_subnet.private[*].id)
}

CloudFormation/Serverless模板引用示例 #

无需额外逻辑，直接通过SSM动态引用参数值：

# CloudFormation模板片段
Parameters:
  VpcId:
    Type: AWS::SSM::Parameter::Value<String>
    Default: /shared/network/main_vpc_id
  PrivateSubnetIds:
    Type: AWS::SSM::Parameter::Value<List<String>>
    Default: /shared/network/private_subnet_ids

Resources:
  MyLambdaFunction:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: test-lambda
      Runtime: python3.9
      Code:
        S3Bucket: my-code-bucket
        S3Key: lambda-package.zip
      VpcConfig:
        SubnetIds: !Ref PrivateSubnetIds
        SecurityGroupIds: [!Ref LambdaSecurityGroup]

推荐方案2：Terraform Remote State引用（适用同用Terraform的团队） #

如果其他团队也使用Terraform管理资源，可以直接读取你的Terraform远程状态文件的输出值，无需额外存储服务。

你的Terraform侧配置 #

# 配置远程状态存储到S3（所有团队可以只读访问该路径）
terraform {
  backend "s3" {
    bucket = "my-org-terraform-shared-state"
    key    = "network/vpc/state.tfstate"
    region = "us-east-1"
  }
}

# 定义需要共享的输出项
output "vpc_id" {
  value = aws_vpc.main.id
  description = "企业主VPC ID"
}

output "private_subnet_ids" {
  value = aws_subnet.private[*].id
  description = "私有子网ID列表"
}

其他团队Terraform侧引用示例 #

# 读取共享的远程状态
data "terraform_remote_state" "shared_network" {
  backend = "s3"
  config = {
    bucket = "my-org-terraform-shared-state"
    key    = "network/vpc/state.tfstate"
    region = "us-east-1"
  }
}

# 直接使用输出的资源值
resource "aws_lambda_function" "business_lambda" {
  # 其他基础配置省略
  vpc_config {
    subnet_ids = data.terraform_remote_state.shared_network.outputs.private_subnet_ids
  }
}

特殊场景：直接注入资源ID到本地模板文件 #

如果需要本地生成带固定资源ID的Serverless/CloudFormation模板，可以用Terraform的模板渲染能力直接注入值：

# 渲染模板并注入变量
data "template_file" "serverless_template" {
  template = file("${path.module}/serverless.yml.template")
  vars = {
    vpc_id         = aws_vpc.main.id
    subnet_ids_str = join(",", aws_subnet.private[*].id)
  }
}

# 输出生成后的可用模板
resource "local_file" "generated_serverless_yaml" {
  content  = data.template_file.serverless_template.rendered
  filename = "${path.module}/output/serverless.yml"
}

对应的serverless.yml.template模板片段：

provider:
  name: aws
  runtime: python3.9
  vpc:
    subnetIds: ${split(",", subnet_ids_str)}
    securityGroupIds:
      - Ref: LambdaSecurityGroup

内容的提问来源于stack exchange，提问作者PrakashS