在 terraform rds 配置中存储 master_username 和 master_password 的更好方法是什么？

Question

我需要有关将 master_password 存储在 https://www.terraform.io/docs/providers/aws/r/rds_cluster.html 中的更好方法的帮助。目前我在提交到 github 之前用 XXX 屏蔽。你能建议一个更好的方法来存储这个吗？谢谢

resource "aws_rds_cluster" "default" {
  cluster_identifier      = "aurora-cluster-demo"
  engine                  = "aurora-mysql"
  availability_zones      = ["us-west-2a", "us-west-2b", "us-west-2c"]
  database_name           = "mydb"
  master_username         = "foo"
  master_password         = "bar"
  backup_retention_period = 5
  preferred_backup_window = "07:00-09:00"
}

Answer 1

这是我的解决方案。

（无论如何，*.tfstate 文件的密码不能隐藏，您应该将 tfstate 文件加密保存在 s3 中）

terraform plan --var-file master_username=xxxx --var-file master_password=xxxx 

所以你的 tf 文件可以将它们定义为变量。

variable "master_username" {}
variable "master_password" {}

resource "aws_rds_cluster" "default" {
  cluster_identifier      = "aurora-cluster-demo"
  engine                  = "aurora-mysql"
  availability_zones      = ["us-west-2a", "us-west-2b", "us-west-2c"]
  database_name           = "mydb"
  master_username         = "${var.master_username}"
  master_password         = "${var.master_password}"
  backup_retention_period = 5
  preferred_backup_window = "07:00-09:00"
}

当使用 CI/CD 管道运行 terraform plan/apply 时，我曾经将密码放入 s3（加密）或 SSM（现在您可以放入 aws secrets manager）。因此，编写一个包装脚本首先获取这些键/值并提供给 terraform 命令。

Answer 2

您最好使用 AWS Secrets Manager，并且根本不在状态文件中存储任何敏感数据（即使您的状态文件可能已加密，但最好避免此类实施）。

在这里，我创建了一个 secrets.tf，它负责生成随机密码并将其存储在 AWS Secrets Manager 中。

resource "random_password" "master"{
  length           = 16
  special          = true
  override_special = "_!%^"
}

resource "aws_secretsmanager_secret" "password" {
  name = "${var.environment}-${var.service_name}-primary-cluster-password"
}

resource "aws_secretsmanager_secret_version" "password" {
  secret_id = aws_secretsmanager_secret.password.id
  secret_string = random_password.master.result
}

现在要在 tf 申请期间获取数据，我使用数据提供者（这会在申请期间从 AWS 动态获取数据）：

data "aws_secretsmanager_secret" "password" {
  name = "${var.environment}-${var.service_name}-primary-cluster-password"

}

data "aws_secretsmanager_secret_version" "password" {
  secret_id = data.aws_secretsmanager_secret.password.id
}
 

然后我在我的 Aurora 集群中引用它们如下：

resource "aws_rds_global_cluster" "main" {
  global_cluster_identifier = "${var.environment}-${var.service_name}-global-cluster"
  engine                    = "aurora"
  engine_version            = "5.6.mysql_aurora.1.22.2"
  database_name             = "${var.environment}-${var.service_name}-global-cluster"
}

resource "aws_rds_cluster" "primary" {
  provider                  = aws
  engine                    = aws_rds_global_cluster.main.engine
  engine_version            = aws_rds_global_cluster.main.engine_version
  cluster_identifier        = "${var.environment}-${var.service_name}-primary-cluster"
  master_username           = "dbadmin"
  master_password           = data.aws_secretsmanager_secret_version.password
  database_name             = "example_db"
  global_cluster_identifier = aws_rds_global_cluster.main.id
  db_subnet_group_name      = "default"
}

希望这会有所帮助。