如何在Terraform中获取Azure密钥保管库中的密钥（如果存在）

60次阅读

问题描述

在使用Terraform时，遇到了一个问题。他的Terraform代码用于从Azure密钥保管库中获取密钥，当密钥存在于Azure密钥保管库中时，代码运行正常。但是，当密钥不存在于密钥保管库中时，会出现错误。用户希望在密钥不存在时忽略错误，并根据条件来判断是否获取密钥以及忽略一组相关代码。他想知道如何实现这个需求。

解决方案

在这种情况下，可以使用条件资源来处理。首先，我们需要使用 data "azurerm_key_vault_secrets" 块来查找密钥。然后，根据查找的结果设置一个条件，如果密钥存在，我们才执行获取密钥的操作，否则忽略相关代码。

以下是如何在Terraform中实现的步骤：

创建一个Terraform配置文件（.tf文件）。
在该文件中定义 azurerm_key_vault 和 data "azurerm_key_vault_secrets" 块，以及相关的资源和变量。
使用条件来决定是否获取密钥以及是否忽略相关代码。

以下是一个示例Terraform配置文件：

provider "azurerm" {
  features {}
}

resource "azurerm_key_vault" "keyvault" {
  name                        = "mykeyvault"
  resource_group_name         = "myresourcegroup"
  location                    = "East US"
  sku_name                    = "standard"
  tenant_id                   = "tenant_id_here"
}

data "azurerm_key_vault_secrets" "secrets" {
  key_vault_id = azurerm_key_vault.keyvault.id
}

variable "secret_name" {
  default = "mysecret"
}

resource "null_resource" "fetch_secret" {
  count = contains(data.azurerm_key_vault_secrets.secrets.names, var.secret_name) ? 1 : 0

  triggers = {
    secret_exists = contains(data.azurerm_key_vault_secrets.secrets.names, var.secret_name)
  }

  provisioner "local-exec" {
    command = "echo 'Fetching the secret'"
    # 在这里可以添加获取密钥的代码
    # 请根据实际需求来编写获取密钥的操作
    when = "create"
  }
}

# 如果想要忽略一组相关代码，可以根据 null_resource "fetch_secret" 的 triggers 来设置条件
resource "null_resource" "conditional_code" {
  depends_on = [null_resource.fetch_secret]
  count      = null_resource.fetch_secret[0].triggers.secret_exists ? 1 : 0

  provisioner "local-exec" {
    command = "echo 'Running the conditional code'"
    # 在这里可以添加需要在密钥存在时运行的代码
    when = "create"
  }
}

在上面的示例中，我们定义了一个Azure密钥保管库和一个用于查找密钥的 data "azurerm_key_vault_secrets" 块。然后，我们使用 null_resource 来根据密钥是否存在来执行操作。密钥存在时，我们会获取密钥并执行相关代码，否则我们将忽略相关代码。

请注意，上述示例仅为演示目的，并未实际获取密钥或运行代码。根据实际需求，你需要在 null_resource "fetch_secret" 和 null_resource "conditional_code" 的 provisioner "local-exec" 块中编写获取密钥的代码以及在密钥存在时需要运行的代码。

在这种方式下，你可以根据条件来决定是否获取密钥以及是否忽略一组相关代码，以满足你的需求。同时，可以根据具体的错误信息来调整代码以解决可能出现的问题。

正文完