在Terraform代码中仅使用加密版本的AWS RDS密码

77次阅读

没有评论

问题描述

想要在Terraform代码中只使用加密版本的RDS密码，并希望AWS能够对其进行解密，以便在登录到RDS时使用解密后的密码。用户希望将RDS密码的变量值设置为加密后的密码，在Terraform构建RDS时，使用解密后的密码进行登录。

解决方案

请注意以下操作可能涉及版本差异，做好相关备份。

使用AWS Systems Manager (SSM) 和 KMS

这种情况下，我们可以使用AWS Systems Manager (SSM) 和 Key Management Service (KMS) 来存储和解密RDS密码。以下是解决方案的步骤：

在AWS SSM 中存储加密的RDS密码。
使用Terraform的AWS提供者，将SSM参数作为数据源引用到Terraform代码中。
在Terraform代码中，通过对数据源使用解密选项，获取解密后的密码。
将解密后的密码用于构建RDS。

以下是具体操作步骤：

在AWS SSM 中存储加密的RDS密码：
使用KMS创建一个密钥 (Key) 来加密RDS密码。
在AWS SSM Parameter Store中创建一个SecureString类型的参数，将RDS密码加密后存储，并将该参数与之前创建的KMS密钥进行关联。
使用Terraform的AWS提供者，在Terraform代码中引用SSM参数：
使用 aws_ssm_parameter 数据源来引用之前存储的SSM参数，确保设置 with_decryption 为 true，以便在引用时进行解密。

以下是一个示例Terraform代码片段：

data "aws_ssm_parameter" "rds_password" {
  name           = "your_rds_password_parameter_name"
  with_decryption = true
}

resource "aws_db_instance" "example" {
  # 配置RDS实例的其他参数
  # ...
  password = data.aws_ssm_parameter.rds_password.value
}

在上面的示例中，我们使用了 aws_ssm_parameter 数据源来引用加密存储的RDS密码，并将解密后的密码用于构建RDS实例。

这样，你的Terraform代码中就不会直接包含明文或加密后的密码，而是通过AWS SSM和KMS来安全地管理密码。