如何通过Terraform从Nexus仓库加载Spring Boot Jar创建AWS Lambda？

我完全理解你不想依赖独立bash脚本的痛点——把下载逻辑完全嵌入Terraform流程里会更整洁、可维护，也更符合基础设施即代码的理念。这里有几个精准且灵活的方案，按实用度和优雅度排序：

方案1：用null_resource + 本地命令下载Jar（最直接的Terraform集成） #

Terraform的null_resource允许你在资源生命周期中执行本地命令，我们可以用它来从Nexus下载Jar包，然后让Lambda直接引用本地下载的文件。整个流程完全在Terraform管控下，无需单独执行脚本。

示例代码：

# 定义Nexus相关配置（建议用变量或Terraform Vault存储敏感信息）
variable "nexus_jar_url" {
  type        = string
  description = "完整的Nexus Spring Boot Jar包地址"
}

variable "nexus_username" {
  type        = string
  description = "Nexus认证用户名"
  sensitive   = true
}

variable "nexus_password" {
  type        = string
  description = "Nexus认证密码"
  sensitive   = true
}

# 从Nexus下载Jar到本地临时目录
resource "null_resource" "download_nexus_jar" {
  triggers = {
    # 当Jar的URL或版本变更时，自动重新下载
    jar_url = var.nexus_jar_url
  }

  provisioner "local-exec" {
    command = <<EOT
      # 创建临时目录避免文件冲突
      mkdir -p ./lambda_build
      # 带认证从Nexus下载Jar（如果用curl，替换成curl -u ${var.nexus_username}:${var.nexus_password} -o ...）
      wget --user=${var.nexus_username} --password=${var.nexus_password} -O ./lambda_build/spring-boot-app.jar ${var.nexus_jar_url}
    EOT
  }
}

# 创建AWS Lambda，引用本地下载的Jar包
resource "aws_lambda_function" "spring_boot_lambda" {
  filename      = "./lambda_build/spring-boot-app.jar"
  function_name = "spring-boot-lambda"
  role          = aws_iam_role.lambda_role.arn
  handler       = "com.example.LambdaHandler::handleRequest" # 替换为你的实际Handler类
  runtime       = "java17" # 根据Spring Boot版本选择对应runtime

  # 确保Jar下载完成后再创建Lambda
  depends_on = [null_resource.download_nexus_jar]
}

# Lambda所需的基础IAM角色
resource "aws_iam_role" "lambda_role" {
  name = "lambda-spring-boot-exec-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Action = "sts:AssumeRole"
      Effect = "Allow"
      Principal = {
        Service = "lambda.amazonaws.com"
      }
    }]
  })
}

这个方案的核心优势：

• 完全嵌入Terraform生命周期，执行terraform apply时自动完成下载+部署
• 通过triggers参数实现增量更新，仅当Jar地址变化时重新下载
• 敏感信息可通过Terraform敏感变量、环境变量或Vault管理，避免硬编码

方案2：先上传Jar到S3，再从S3部署Lambda（适合多环境/大规模场景） #

如果你的团队需要共享Lambda包、做版本化管理，或者需要适配CI/CD流水线，先把Nexus的Jar传到S3，再让Lambda从S3读取会更灵活。同样用null_resource完成上传步骤：

variable "s3_bucket_name" {
  type        = string
  description = "存储Lambda包的S3桶名称"
}

# 下载Jar并上传到S3
resource "null_resource" "nexus_to_s3" {
  triggers = {
    jar_url     = var.nexus_jar_url
    s3_bucket   = var.s3_bucket_name
  }

  provisioner "local-exec" {
    command = <<EOT
      mkdir -p ./lambda_build
      wget --user=${var.nexus_username} --password=${var.nexus_password} -O ./lambda_build/spring-boot-app.jar ${var.nexus_jar_url}
      # 上传到S3指定路径
      aws s3 cp ./lambda_build/spring-boot-app.jar s3://${var.s3_bucket_name}/lambda-packages/spring-boot-app.jar
    EOT
  }
}

# Lambda从S3加载包
resource "aws_lambda_function" "spring_boot_lambda" {
  function_name = "spring-boot-lambda"
  role          = aws_iam_role.lambda_role.arn
  handler       = "com.example.LambdaHandler::handleRequest"
  runtime       = "java17"

  s3_bucket = var.s3_bucket_name
  s3_key    = "lambda-packages/spring-boot-app.jar"

  depends_on = [null_resource.nexus_to_s3]
}

额外优势：

• S3包可被多个Lambda或服务复用
• 借助S3版本控制追踪Jar的历史版本
• 更适合批量部署、跨区域同步等复杂场景

方案3：自定义Terraform Provider（最优雅但成本较高） #

如果你的团队长期需要从Nexus或其他私有仓库加载二进制包，可以考虑开发一个自定义Terraform Provider，专门处理从Nexus下载归档文件的逻辑。不过这个方案需要Go语言开发能力，适合有专门DevOps团队的场景。

关键注意事项 #

• 确保本地环境安装了wget或curl（根据你选择的命令调整）
• 下载后可添加校验步骤（比如校验Jar的MD5/SHA256哈希），确保包的完整性
• 敏感信息绝对不要硬编码，优先用Terraform的敏感变量或Vault存储

内容的提问来源于stack exchange，提问作者Aliaksei Bulhak