Как добавить лямбда-переменную окружения с помощью terraform?

Документация здесь дает довольно хороший пример. В основном это блок environment с блоком variables. Затем любые пары ключ-значение, которые вы хотите. Предполагая, что вы используете nodejs, вы можете ссылаться на эти переменные в своем лямбда-коде, выполнив process.env.api_key. Эти значения будут храниться в простой текст в вашем коде terraform, а также в файле состояния terraform. AWS шифрует переменные среды, но вам нужно позаботиться о том, как эти значения попадают туда. Если вам неудобно, что они хранятся в git и в любом хранилище, которое вы используете для своего файла состояния, вы можете добавить их вручную через консоль.

resource "aws_lambda_function" "test_lambda" {
  filename         = "lambda_function_payload.zip"
  function_name    = "lambda_function_name"
  runtime          = "nodejs8.10"
  ...

  environment {
    variables = {
      api_key = "super_secret"
    }
  }
}

Если вы хотите передать super_secret_value в терраформе, а затем вместо передачи файла tfvars, вы можете рассмотреть возможность использования Vault или AWS Secret Manager.

Но даже если вы используете Vault или AWS Secret Manager, секреты могут быть видны в файле tfstate. Но для снижения риска вы можете зашифровать файл tfstate на S3 и установить политику ограничений, чтобы только необходимые люди могли получить доступ к этому файлу состояния.

Если у вас есть, как и в большинстве традиционных приложений NodeJS, файл en .env, который загружается вместе с dotenv локально, вот трюк для проксирования этих переменных в файлы Terraform в качестве переменных:

env $(sed -e 's/^/TF_VAR_/' ../../.env.preproduction) terraform plan \
 -out=terraform-preproduction.plan

Затем просто объявите переменные env как переменные и используйте их:

variable "SECRET" {
  description = "The application SECRET env var"
}

resource "aws_lambda_function" "test_lambda" {
  filename         = "lambda_function_payload.zip"
  function_name    = "lambda_function_name"
  runtime          = "nodejs8.10"
  ...

  environment {
    variables = {
      api_key = "${var.SECRET}"
    }
  }
}

Вы можете использовать секретный менеджер aws для хранения ваших данных. больше информации. чтобы использовать их в своей терраформе, выполните следующие действия:

1. Храните конфиденциальные данные, такие как пароли и ключи API.
2. Добавьте данные aws_secretsmanager_secret в свой терраформ, больше информации
3. Добавьте aws_secretsmanager_secret_version на основе секрета из предыдущего шага. больше информации
4. Предполагая, что ваш секрет хранится в структуре ключ-значение, используйте

${jsondecode(data.aws_secretsmanager_secret_version.secrets.secret_string)["YOUR_KEY"]}