使用工作区从 aws 秘密管理器中检索 terraform 中的秘密

Question

我正在尝试使用以下代码行从 AWS Secret Manager 中检索密钥：

"${terraform.workspace}.PROJECT_KEY"   = "${jsondecode(data.aws_secretsmanager_secret_version.take-sm-store-version.secret_string)["${terraform.workspace}.PROJECT_KEY"]}"

当我运行terraform plan 时，我可以看到环境变量被正确翻译：

  ~ environment {
      ~ variables = {
            "ENVIRONMENT"          = "test"
          + "test.PROJECT_KEY" = "example_key_test"

但是，当我运行 terraform apply 时，我遇到了以下错误：

Error: Error modifying Lambda Function Configuration example-function-test: ValidationException: 
        status code: 400, request id: ae52d9bc-819e-4a45-ba0d-a5b4e4de9516

还有其他方法可以解决这个问题吗？我有三个工作区（dev/acc/prod），所以我希望这样我可以拥有一个资源（Lambda 函数），其环境变量是基于当前工作区设置的。

Answer 1

环境变量不能包含句点。您可以通过在 shell 中运行 export foo.bar=baz 在本地进行测试：

bash: export: `foo.bar=baz': not a valid identifier

Lambda API docs 表示允许的字符是[a-zA-Z]([a-zA-Z0-9_])+。

理想情况下，这将由 aws_lambda_function 资源本身进行验证，因此此错误会在计划或验证时显示，但不幸的是它在这部分架构中缺少 ValidateFunc 帮助器。

我已提出 this pull request 以增加对计划时间验证的支持。