Terraform自动化生成并验证多份ACM证书遇资源问题

我之前在批量管理Route53托管区域和ACM证书的时候，也碰到过类似的困惑，尤其是在DNS验证环节很容易出现资源不匹配或者依赖错误的情况。结合你描述的场景，我整理了几个核心的解决要点：

1. 先确保托管区域与证书的对应关系精准匹配 #

你定义的hosted_zones变量是包含域名和Zone ID的列表，在批量创建ACM证书时，一定要保证每个证书绑定到正确的托管区域。如果用count来批量创建，要严格对应索引：

resource "aws_acm_certificate" "cert" {
  count             = length(var.hosted_zones)
  domain_name       = var.hosted_zones[count.index].domain
  validation_method = "DNS"

  tags = {
    Name = "Cert-${var.hosted_zones[count.index].domain}"
  }
}

如果你的证书是通配符域名（比如*.site1.com），记得用replace(cert.domain_name, "*.", "")来匹配对应的根托管区域域名。

2. 动态生成DNS验证记录并关联正确的Route53区域 #

这是最容易踩坑的环节，ACM会为每个证书返回专属的验证记录，我们需要动态遍历这些记录，并关联到对应的托管区域。推荐用for_each来避免count索引错位的问题：

resource "aws_route53_record" "acm_validation" {
  for_each = {
    for dvo in flatten([
      for cert in aws_acm_certificate.cert : [
        for dvo in cert.domain_validation_options : {
          name     = dvo.resource_record_name
          record   = dvo.resource_record_value
          type     = dvo.resource_record_type
          # 精准匹配当前证书对应的托管区域ID
          zone_id  = [for z in var.hosted_zones : z.zone_id if z.domain == replace(cert.domain_name, "*.", "")][0]
        }
      ]
    ]) : "${dvo.name}_${dvo.type}" => dvo
  }

  zone_id = each.value.zone_id
  name    = each.value.name
  type    = each.value.type
  records = [each.value.record]
  ttl     = 60
}

resource "aws_acm_certificate_validation" "cert" {
  for_each                = { for cert in aws_acm_certificate.cert : cert.domain_name => cert }
  certificate_arn         = each.value.arn
  # 关联对应证书的验证记录
  validation_record_fqdns = [for r in aws_route53_record.acm_validation : r.fqdn if contains(r.name, replace(each.value.domain_name, "*.", ""))]
}

这里通过列表推导式[for z in var.hosted_zones : z.zone_id if z.domain == replace(cert.domain_name, "*.", "")][0]来精准匹配证书对应的托管区域ID，彻底避免了索引不匹配的问题。

3. 明确资源依赖，避免创建顺序错误 #

如果你的Route53托管区域也是通过Terraform创建的（aws_route53_zone.zones），一定要确保证书和验证记录在托管区域创建完成后再生成。虽然Terraform通常会自动处理依赖，但显式声明会更稳妥：

resource "aws_acm_certificate" "cert" {
  count             = length(var.hosted_zones)
  domain_name       = var.hosted_zones[count.index].domain
  validation_method = "DNS"

  depends_on = [aws_route53_zone.zones]

  tags = {
    Name = "Cert-${var.hosted_zones[count.index].domain}"
  }
}

4. 常见问题排查 #

• 如果出现验证超时，先检查Route53中是否生成了正确的验证记录，对比ACM控制台显示的记录是否一致；
• 确认托管区域的域名和证书域名完全匹配（通配符证书要对应根域名的托管区域）；
• 如果你是手动填写的Zone ID，一定要核对ID是否正确，AWS Route53的Zone ID是一串无特殊字符的字母数字组合，不要和域名混淆。

内容的提问来源于stack exchange，提问作者Aaron Stone