6

我遇到了一个非常令人困惑的 Terraform 资源问题，该问题自动生成和 DNS 验证 ACM 中的 SSL 证书，以获取（Terraform 管理的）托管区域列表。代码也可以在这个 gist中找到。

我从引导引用此环境特定变量的托管区域开始。

hosted_zones = [
    {
        domain = "site1.com"
        zone_id = "MANUALLY FILL"
    }
]

我用来构建区域的块似乎工作可靠。

resource "aws_route53_zone" "zones" {
    count = "${length(var.hosted_zones)}"
    name  = "${lookup(var.hosted_zones[count.index], "domain")}"
}

构建区域后，我手动将区域 ID 复制到变量中，因为考虑到 HCL 的限制和我缺乏使用它的经验，我还没有想出一个聪明的方法来自动化它。

我可以使用...可靠地为每个托管区域生成裸证书和 splat 证书。

resource "aws_acm_certificate" "cert" {
    count = "${length(var.hosted_zones)}"
    domain_name = "${lookup(var.hosted_zones[count.index], "domain")}"
    subject_alternative_names = ["*.${lookup(var.hosted_zones[count.index], "domain")}"]
    validation_method = "DNS"

    tags {
        Project = "${var.project}"
        Environment = "${var.environment}"
    }
}

当我尝试自动化证书的 DNS 验证时，事情变得棘手。单个托管区域的文档中有一个很好的示例，但我无法成功地将其移植到多个托管区域。我的尝试...

resource "aws_route53_record" "cert_validation" {
    count = "${length(var.hosted_zones)}"

    name = "${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_name[count.index]}"
    type = "${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_type[count.index]}"
    zone_id = "${var.zone_override != "" ? var.zone_override : lookup(var.hosted_zones[count.index], "zone_id")}"
    records = ["${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_value[count.index]}"]
    ttl = 60
}

resource "aws_acm_certificate_validation" "cert" {
    count = "${length(var.hosted_zones)}"

    certificate_arn = "${aws_acm_certificate.cert.*.arn[count.index]}"
    validation_record_fqdns = ["${aws_route53_record.cert_validation.*.fqdn[count.index]}"]
}

我在第一次运行时看到的错误是：

* module.acm.aws_route53_record.cert_validation: 1 error(s) occurred:
* module.acm.aws_route53_record.cert_validation: Resource 'aws_acm_certificate.cert' does not have attribute 'domain_validation_options.0.resource_record_value' for variable 'aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_value'

令人讨厌的部分是，如果我评论validation资源，则apply成功，然后取消评论并重新运行也会成功。

我已经尝试（感觉像）的每一个排列element() lookup()，list()并map()在第一个资源块的输出中通过索引来定位证书，但我遇到了记录在案的“平面列表”限制，这是我最接近成功的地方。我想了解为什么需要解决方法，以便我可以消除它。这感觉像是一个语法问题，或者我试图让 HCL 表现得更像一种 OO 语言。

感谢您提供任何可能有帮助的经验！

4

3 回答 3

10

我有一个类似的场景，解决它的关键是使用locals和flatten()。该方法也应该适用于您，因此您不需要两次通过来创建资源。

在这种情况下，有多个域，每个域都有子域，这些子域将出现在证书的 subjectAltName 部分。例如：

├── preview.example.com
│   ├── app.preview.example.com
│   └── www.preview.example.com
├── demo.example.com
│   ├── app.demo.example.com
│   └── www.demo.example.com
├── staging.example.com
│   ├── app.staging.example.com
│   └── www.staging.example.com
└── example.com
    ├── app.example.com
    └── www.example.com

为此，我们首先设置一些变量：

variable "domains" {
    type = "list"
    default = [
        "demo.example.com",
        "preview.example.com",
        "staging.example.com",
        "example.com"
    ]
}
variable "subdomains" {
    type = "list"
    default = [
        "app",
        "www"
    ]
}

接下来，我们创建包含子域作为 SAN 的证书资源。

resource "aws_acm_certificate" "cert" {
  count             = "${length(var.domains)}"
  domain_name       = "${element(var.domains, count.index)}"
  validation_method = "DNS"

  subject_alternative_names = ["${
    formatlist("%s.%s",
      var.subdomains,
      element(var.domains, count.index)
    )
  }"]
}

接下来，我们将需要一个局部变量来展平生成的域和子域集。这是必需的，因为从 0.11.7 版开始，terraform 不支持嵌套列表语法，既不通过element()插值也不通过 `list[count]。

locals {
  dvo = "${flatten(aws_acm_certificate.cert.*.domain_validation_options)}"
}

接下来，我们需要查找可在后续 Route 53 记录中使用的 Route 53 区域：

data "aws_route53_zone" "zone" {
  count        = "${length(var.domains) > 0 ? 1 : 0}"
  name         = "example.com."
  private_zone = false
}

然后，我们创建 Route 53 DNS 记录，这些记录将填充来自证书资源的数据以进行 DNS 验证。我们正在向子域添加一个，以便我们还有一条未包含在子域列表中的基本域的记录。

resource "aws_route53_record" "cert_validation" {
  count   = "${length(var.domains) * (length(var.subdomains) + 1)}"
  zone_id = "${data.aws_route53_zone.zone.id}"
  ttl     = 60

  name    = "${lookup(local.dvo[count.index], "resource_record_name")}"
  type    = "${lookup(local.dvo[count.index], "resource_record_type")}"
  records = ["${lookup(local.dvo[count.index], "resource_record_value")}"]
}

最后，我们创建将等待证书颁发的证书验证资源。

resource "aws_acm_certificate_validation" "cert" {
  count                   = "${length(var.domains) * (length(var.subdomains) + 1)}"
  certificate_arn         = "${element(aws_acm_certificate.cert.*.arn, count.index)}"
  validation_record_fqdns = ["${aws_route53_record.cert_validation.*.fqdn}"]
}

最后一个资源的一个警告是，它将为每个请求的证书创建一个资源实例，但每个实例将依赖于所有域和子域中的所有 FQDN。这不会影响 AWS 中的任何内容，但在颁发所有证书之前，terraform 代码不会继续/完成。

这应该可以在一次应用运行中运行，而无需-target在第一遍中使用任何资源，尽管有一个明显已知的问题是通过 terraform 执行验证需要多长时间才能完成，因此它可能需要第二次通过，尽管没有更改代码或计划/应用调用。

于 2018-05-09T16:33:23.580 回答
2

因此，经过一番试验后，我最终将-target=aws_acm_certificate.cert其作为一种解决方法来避免我看到的缺失属性错误。我上面使用的语法是正确的，错误是因为apply需要在验证步骤引用生成的属性之前完成证书。

此外，我找到了一个优雅的解决方案，用于MANUAL FILL使用zipmap. 结果看起来像这样......

多变的：

hosted_zones = [
  "foo.com"
]

模块输出hosted_zones：

output "hosted_zone_ids" {
  value = "${zipmap(var.hosted_zones, aws_route53_zone.zones.*.zone_id)}"
}

然后，我的证书生成/验证模块如下所示，var.hosted_zone_map前面的输出在哪里zipmap创建托管区域域名到分配的区域 ID 的映射：

resource "aws_acm_certificate" "cert" {
    count                       = "${length(keys(var.hosted_zone_map))}"
    domain_name                 = "${element(keys(var.hosted_zone_map), count.index)}"
    subject_alternative_names   = ["*.${element(keys(var.hosted_zone_map), count.index)}"]
    validation_method           = "DNS"

    tags {
        Project     = "${var.project}"
        Environment = "${var.environment}"
    }
}

resource "aws_route53_record" "cert_validation" {
    count   = "${length(keys(var.hosted_zone_map))}"

    zone_id = "${lookup(var.hosted_zone_map, element(keys(var.hosted_zone_map), count.index))}"
    name = "${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_name[count.index]}"
    type = "${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_type[count.index]}"
    records = ["${aws_acm_certificate.cert.*.domain_validation_options.0.resource_record_value[count.index]}"]
    ttl     = 60
}

resource "aws_acm_certificate_validation" "cert" {
    count                   = "${length(keys(var.hosted_zone_map))}"

    certificate_arn         = "${aws_acm_certificate.cert.*.arn[count.index]}"
    validation_record_fqdns = ["${aws_route53_record.cert_validation.*.fqdn[count.index]}"]
}

splat 的定位绝对是最棘手且记录最少的部分，因此希望这可以帮助其他人。

于 2018-05-03T16:59:16.563 回答
0

我知道这个问题很老，但是对于今天寻找答案的人来说，Terraform 为 AWS 提供商更新的文档有一个很好的例子，它使用了一个 for_each 循环。这显然适用于 terraform 1.x，但可能是其他最近的检查https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resources/acm_certificate_validation#dns-validation-with-route-53

于 2022-03-02T20:19:43.563 回答