使用Terraform如何将指定VPC的所有安全组ID存入列表？

完全可以实现你需要的需求，以下是两种常见场景的实现方式：

场景1：汇总同一份配置中动态创建的安全组ID #

如果你在同一个Terraform计划内创建安全组，直接通过资源的splat表达式即可批量获取ID，Terraform会自动处理依赖顺序，先完成安全组创建再创建VPC Endpoint。
示例代码如下：

# 同配置内动态创建多个安全组，支持count/for_each两种创建方式
resource "aws_security_group" "vpc_endpoint_sg" {
  count       = 3 # 可根据需求调整数量，for_each场景语法同理
  name        = "vpc-endpoint-sg-${count.index}"
  description = "Security group for VPC endpoint"
  vpc_id      = var.target_vpc_id # 替换为你的目标VPC ID变量

  # 按需配置入站规则
  ingress {
    from_port   = 443
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = ["10.0.0.0/8"]
  }

  # 按需配置出站规则
  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

# 创建VPC Endpoint，直接挂载上述所有安全组
resource "aws_vpc_endpoint" "interface_example" {
  vpc_id              = var.target_vpc_id
  service_name        = "com.amazonaws.${var.region}.ec2"
  vpc_endpoint_type   = "Interface"
  # 直接通过splat表达式获取所有安全组ID的列表
  security_group_ids  = aws_security_group.vpc_endpoint_sg[*].id
  private_dns_enabled = true
  # 其他参数按需补充，比如子网ID、标签等
}

如果用for_each创建安全组，同样可以用aws_security_group.vpc_endpoint_sg[*].id获取所有ID列表。

场景2：汇总指定VPC下全部已存在的安全组ID #

如果你需要拉取目标VPC内所有已有的安全组（包含非当前Terraform配置创建的安全组），可以通过AWS安全组数据源实现：

# 数据源：拉取目标VPC下所有安全组信息
data "aws_security_groups" "all_vpc_sg" {
  filter {
    name   = "vpc-id"
    values = [var.target_vpc_id]
  }

  # 可额外添加过滤规则，比如按名称前缀筛选，不需要可删除
  filter {
    name   = "tag:Usage"
    values = ["VPCEndpoint"]
  }
}

# 直接引用数据源返回的ID列表即可
resource "aws_vpc_endpoint" "interface_example" {
  vpc_id              = var.target_vpc_id
  service_name        = "com.amazonaws.${var.region}.ec2"
  vpc_endpoint_type   = "Interface"
  security_group_ids  = data.aws_security_groups.all_vpc_sg.ids
  private_dns_enabled = true
}

注意事项 #

• 如果需要剔除部分不需要的安全组，可使用setsubtract()函数对ID列表做差集处理，比如setsubtract(data.aws_security_groups.all_vpc_sg.ids, [var.exclude_sg_id])
• 同配置内创建的资源不需要手动添加depends_on，Terraform会自动识别资源依赖关系。

内容的提问来源于stack exchange，提问作者jayendra bhatt