Terraform：将敏感数据添加到 Azure KeyVault

Question

我正在使用 Terraform 将一些敏感数据（例如现有 sql 服务器的密码）添加到我的 Azure 密钥库中。 问题是这些数据在变量中传递给 Terraform。 我使用的是sensitive=true ，但它仍然可以在terraform 文件中读取。 该代码将存储在私有 Azure Devops 存储库中，但其他人将能够看到它。 确保其安全的最佳做法是什么？

Answer 1

我已经在我的环境中测试过

默认情况下，Terraform 将密钥保管库机密等值视为敏感值。

在运行terraform 计划命令时，您可以看到密钥保管库机密值为（敏感）

但问题是这些数据可以在variables.tf文件中看到。 有权访问 variables.tf 文件的任何人都可以看到这些敏感数据。

解决此问题的一种方法是在 variables.tf 中声明变量而不使用任何默认值。

然后在运行terraform 计划命令时，它会提示输入密钥保管库秘密值，您可以提供它。

但是，手动输入值既费时又容易出错。

其他方式可以将这些值存储在.tfvars文件中

但是需要限制.tfvars文件的访问

参考： 保护敏感输入变量 | Terraform - HashiCorp