Terraform 使用输出变量作为另一个资源中的输入

Posted 2023-03-24

【中文标题】Terraform 使用输出变量作为另一个资源中的输入

【英文标题】：Terraform use output variable as an input in another resource

【发布时间】：2021-12-28 00:00:48

【问题描述】：

我在 output.tf 文件中定义了一个输出变量，如下所示：

output "cluster_arn" 
  description = "MSK Cluster ARN"
  value       = aws_msk_cluster.msk.arn

data "terraform_remote_state" "msk_vpc" 
  backend = "s3"
  count = var.use_msk_peering ? 1 : 0

  config = 
    bucket = "$var.env-tf-state"
    key    = "$var.msk_peer_name/$var.msk_peer_region/msk/terraform.tfstate"
    region = "us-west-2"
  

我需要将此输出用作 aws_iam_role_policy 资源中的输入，因为我需要限制特定集群的评估。我该怎么办？我在下面尝试了这样，但 Terraform 在下面返回了一个错误。似乎 Terraform 无法按我预期的方式解析输出变量。MalformedPolicyDocument：资源 data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn 必须采用 ARN 格式或“*”。

resource "aws_iam_role_policy" "msk_access" 
  name = "$element(split("-", var.product), 0)-$var.env-$var.region-msk-access"
  role = module.instance_role.instance_role

  policy = <<EOF

    "Version": "2012-10-17",
    "Statement": [
        
            "Action": [
                "kafka:Describe*",
                "kafka:List*",
                "kafka:Get*"
            ],
            "Effect": "Allow",
            "Resource": "data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn"              
        
    ]

EOF

【参考方案1】：

"Resource": "data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn"

这一行不引用变量本身，它只是根据引号内的内容创建一个字符串。

您要做的就是删除引号：

"Resource": data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn

或使用字符串插值：

"Resource": "$data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn"

【参考方案2】：

您可以使用 Terraform 的 templatefile() 函数对 JSON 文件进行一些变量插值。比如：

data "terraform_remote_state" "msk_vpc" 
  backend = "s3"
  count   = var.use_msk_peering ? 1 : 0

  config = 
    bucket = "$var.env-tf-state"
    key    = "$var.msk_peer_name/$var.msk_peer_region/msk/terraform.tfstate"
    region = "us-west-2"
  


resource "aws_iam_role_policy" "msk_access" 
  name = "$element(split("-", var.product), 0)-$var.env-$var.region-msk-access"
  role = module.instance_role.instance_role
  policy = templatefile("$path.module/policy.json", 
    cluster_arn = data.terraform_remote_state.msk_vpc[0].outputs.cluster_arn
  )

伴随着 policy.json 存在于您的模块根目录中：

  "Version": "2012-10-17",
  "Statement": [
    
      "Action": [
        "kafka:Describe*",
        "kafka:List*",
        "kafka:Get*"
      ],
      "Effect": "Allow",
      "Resource": "$cluster_arn"
    
  ]