Terraform 中的 external 数据块是什么?如何使用？

在 Terraform 中，external 数据块（Data Block） 是一种特殊的数据源，允许你通过调用外部程序或脚本获取动态数据，并将结果集成到 Terraform 配置中。它适用于需要从 Terraform 外部的系统或工具获取信息的场景。

一、external 数据块的核心作用

• 动态数据集成：调用外部脚本、API 或命令行工具获取实时数据。

• 绕过 Provider 限制：当 Terraform 内置 Provider 无法直接获取某些数据时，可作为补充。

• 灵活输入/输出：通过 JSON 格式传递参数和接收结果。

二、基本语法结构

data "external" "example" {
  program = ["<COMMAND>", "<ARG1>", "<ARG2>"]  # 指定要执行的程序或脚本

  # 可选：传递给程序的参数（以 JSON 格式）
  query = {
    key1 = "value1"
    key2 = "value2"
  }
}

# 使用数据
output "result" {
  value = data.external.example.result
}

三、使用步骤详解

1. 编写外部程序

程序必须满足以下条件：

• 接收输入 ：通过标准输入（stdin）接收 JSON 格式的 query 参数。

• 返回输出 ：向标准输出（stdout）写入 JSON 格式的结果。

• 退出码 ：返回 0 表示成功，非零表示失败。

示例 Python 脚本 (get_metadata.py)：

import sys
import json

# 读取输入
input_json = json.load(sys.stdin)
name = input_json.get("name", "default")

# 生成输出
result = {
    "timestamp": "2023-10-01T12:00:00Z",
    "generated_name": f"{name}-instance"
}

# 输出 JSON
print(json.dumps(result))

2. 定义 external 数据块

data "external" "instance_metadata" {
  program = ["python", "${path.module}/get_metadata.py"]

  query = {
    name = "web-server"  # 传递给脚本的参数
  }
}

3. 使用获取的数据

resource "aws_instance" "example" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t2.micro"
  tags = {
    Name = data.external.instance_metadata.result["generated_name"]
  }
}

output "instance_timestamp" {
  value = data.external.instance_metadata.result["timestamp"]
}

四、关键注意事项

安全权限：

• 确保脚本有可执行权限：chmod +x get_metadata.py

• 避免在脚本中执行高危操作（如 rm -rf）

输入输出格式：

• 输入 ：query 参数自动转换为 JSON 对象，通过 stdin 传递。

• 输出：脚本必须返回有效的 JSON 对象，键值均为字符串。

错误处理：

• 脚本返回非零退出码时，Terraform 会报错。

• 在脚本中处理异常：

  try:
      # 主逻辑
  except Exception as e:
      print(json.dumps({"error": str(e)}), file=sys.stderr)
      sys.exit(1)

跨平台兼容：

• 使用 #!/usr/bin/env python3 行。

• 避免平台特定的命令（如 curl 可能需检查是否存在）。

五、典型使用场景

场景	示例
动态生成名称	结合时间戳生成唯一资源名
密钥管理	从外部密钥库（如 Vault）获取临时凭证
环境检测	检测当前云平台的可用区或区域
复杂计算	计算资源依赖关系的拓扑结构

六、高级技巧

1. 多参数传递

query = {
  environment = "prod"
  region      = "us-west-2"
  count       = "3"
}

2. 结合 templatefile 生成脚本

data "external" "dynamic_script" {
  program = ["bash", "-c", templatefile("${path.module}/script_template.sh", {
    api_endpoint = var.api_url
  })]
}

3. 调试输出

output "debug" {
  value = data.external.example.result
}

七、与其他数据源的对比

特性	external	http	local_file
数据来源	外部程序	HTTP API	本地文件
动态性	高	中	低
安全性	需审计脚本	需控制 URL	依赖文件权限
复杂度	高（需编码）	中	低

通过 external 数据块，Terraform 可以灵活集成外部系统的动态数据，但需谨慎设计脚本和输入输出，确保安全性与可靠性。