Terraform - используйте идентификатор группы безопасности, созданный в отдельном файле, для создания экземпляра EC2

Question

Я использовал этот модуль для создания группы безопасности в AWS VP C. Как мне сослаться на созданный из этого ресурс в отдельном файле? Я создаю наш экземпляр бастиона в отдельном каталоге в том же репозитории.

Моя конфигурация бастиона выглядит следующим образом, использует модуль Terraform EC2 и работает, если я жестко кодирую идентификатор группы безопасности vp c, но Я хочу, чтобы он мог принимать его непосредственно с момента создания группы безопасности, поскольку это может измениться в будущем ..

terraform / aws / Layers / bastion / main.tf

    provider "aws" {
        region = var.region
    }

    module "ec2-instance" {
      source = "terraform-aws-modules/ec2-instance/aws"

      name                   = "bastion"
      instance_count.        = 1
      ami                    = var.image_id
      instance_type          = var.instance_type
      vpc_security_group_ids = ["${}"]
      subnet_id              = var.subnet
      iam_instance_profile   = "aws-example-ec2-role"

      tags = {
        Layer = "Bastion"
      }
    }

Вот как я создал группу безопасности: terraform / aws / global / vpc / bastion_sg.tf

        module "bastion-sg" {
          source = "terraform-aws-modules/security-group/aws"
    
      name        = "Bastion"
      description = "Bastion example group"
      vpc_id      = "vpc-12345"
    
      ingress_with_cidr_blocks = [
        {
          from_port   = ##
          to_port     = ##
          protocol    = "##"
          description = "Bastion SSH"
          cidr_blocks = "1.2.3.4/5"
        },
        {
          from_port   = ##
          to_port     = ##
          protocol    = "##"
          description = "Bastion SSH"
          cidr_blocks = "1.2.3.4/5"
        }
      ]
      egress_with_source_security_group_id = [
        {
          from_port                = ##
          to_port                  = ##
          protocol                 = "##"
          description              = "Access to default server security group"
          source_security_group_id = "sg-12345"
        },
        {
          from_port                = ##
          to_port                  = ##
          protocol                 = "##"
          description              = "Access to db"
          source_security_group_id = "sg-12345"      
        }
      ]
    }

Нужно ли мне выводить Идентификатор группы безопасности в outputs.tf, где я создал с помощью bastion_sg.tf, прежде чем я смогу ссылаться на него в bastion / main.tf, как показано ниже?

    module "bastion_sg"
        source "../../global/vpc"

, а затем каким-то образом передать идентификатор в vpc_security_group_id =?

Answer 1

Я бы не стал использовать terraform- aws -модули. Я бы использовал aws ресурсы провайдера, такие как aws_security_group и aws_security_group_rules напрямую. Начиная с Terraform 0.12, у этих модулей с одним ресурсом нет никаких преимуществ, просто добавляется сложность.

Вот пример того, каким может быть ваш код с прямыми aws ресурсами поставщика и без лишних модулей:

provider "aws" {
    region = var.region
}

resource "aws_instance" "bastion" {
  name                   = "bastion"
  ami                    = var.image_id
  instance_type          = var.instance_type
  vpc_security_group_ids = [aws_security_group.bastion.id]
  subnet_id              = var.subnet
  iam_instance_profile   = "aws-example-ec2-role"

  tags = {
    Layer = "Bastion"
  }
}

resource "aws_security_group" "bastion_from_ssh" {
  name        = "Bastion"
  description = "Bastion example group"
  vpc_id      = "vpc-12345"
}

resource "aws_security_group_rule" "allow_ssh" {
  type                     = "ingress"
  from_port   = ##
  to_port     = ##
  protocol    = "##"
  description = "Bastion SSH"
  cidr_blocks = ["1.2.3.4/5"]
}

resource "aws_security_group_rule" "bastion_to_db" {
  type                     = "egress"
  from_port                = ##
  to_port                  = ##
  protocol                 = "##"
  description              = "Access to default server security group"
  source_security_group_id = "sg-12345"
}

output "security_group_id" {
    value = aws_security_group.bastion_from_ssh.id
}

Пример: ссылка на вывод в другом модуле:

module "bastion" {
   source = "path/to/dir/with/code/above"
   // ... any variables it needs
}

resource "aws_security_group" "app_server" {
  name        = "AppServer"
  description = "App Server group"
  vpc_id      = "vpc-12345"
}

resource "aws_security_group_rule" "allow_ssh_to_app_server" {
  security_group_id = module.bastion.security_group_id
  type = "egress"

  from_port   = 22
  to_port     = 22
  protocol    = "tcp"
  description = "SSH to App Server"
  source_security_group_id = aws_security_group.app_server.id
}

resource "aws_security_group_rule" "allow_ssh_from_bastion" {
  security_group_id = aws_security_group.app_server.id
  type = "ingress"

  from_port   = 22
  to_port     = 22
  protocol    = "tcp"
  description = "SSH from Bastion"
  source_security_group_id = module.bastion.security_group_id
}

Answer 2

Из документации модуля, который вы используете, это выходы .

Способ ссылаться на них в вашем собственном терраформе будет:

module.bastion-sg.this_security_group_id

Итак, ваш terraform/aws/layers/bastion/main.tf файл будет выглядеть так:

provider "aws" {
    region = var.region
}

module "ec2-instance" {
  source = "terraform-aws-modules/ec2-instance/aws"

  name                   = "bastion"
  instance_count.        = 1
  ami                    = var.image_id
  instance_type          = var.instance_type
  vpc_security_group_ids = [module.bastion-sg.this_security_group_id]
  subnet_id              = var.subnet
  iam_instance_profile   = "aws-example-ec2-role"

  tags = {
    Layer = "Bastion"
  }
}