Terraform：添加单个规则时，所有安全组规则都会被销毁并替换

2024-03-05

地形信息：

地形 v0.12.18
提供商.aws v2.43.0
提供者.模板 v2.1.2

我定义了一个安全组：

如果我跑terraform plan or terraform apply与我现有的堆栈相比，没有任何待处理的更改，状态完全是最新的。

resource "aws_security_group" "sg_apps" {
  name        = "Custom apps ${var.env}"
  description = "Custom apps ${var.env}"
  vpc_id      = data.terraform_remote_state.vpc.outputs.vpc_east_id
  tags = {
    Name = "Custom apps ${var.env} - TF"
  }

  ingress {
    from_port = 3306
    to_port   = 3306
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8800
    to_port   = 8808
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8503
    to_port   = 8503
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8889
    to_port   = 8889
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }
}

如果我再添加一条规则：

resource "aws_security_group" "sg_tlapps" {
  name        = "Custom apps ${var.env}"
  description = "Custom apps ${var.env}"
  vpc_id      = data.terraform_remote_state.vpc.outputs.vpc_east_id
  tags = {
    Name = "Custom apps ${var.env} - TF"
  }

  ingress {
    from_port = 3306
    to_port   = 3306
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8800
    to_port   = 8808
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8503
    to_port   = 8503
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 8889
    to_port   = 8889
    protocol  = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }

  ingress {
    from_port = 9200
    to_port = 9200
    protocol = "tcp"
    cidr_blocks = [
      data.terraform_remote_state.vpc.outputs.m-1a_cidr,
      data.terraform_remote_state.vpc.outputs.m-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1b_cidr,
      data.terraform_remote_state.vpc.outputs.p-1a_cidr,
    ]
  }
}

应用想要删除所有规则并重新创建它们——我不明白为什么它想要全部替换它们。

这对于非生产环境来说很好，但我真的不想破坏产品中的防火墙规则万一任务半途失败什么的。我只是想在 sg 中添加一条规则。

  # aws_security_group.sg_apps will be updated in-place
  ~ resource "aws_security_group" "sg_apps" {
        arn                    = "arn:aws:ec2:us-east-1:xxxxx:security-group/sg-xxxxxxxx"
        description            = "Custom apps prod"
        egress                 = []
        id                     = "sg-xxxxxxxxx"
      ~ ingress                = [
          - {
              - cidr_blocks      = [
                  - "10.10.100.0/24",
                  - "10.10.200.0/24",
                  - "10.10.1.0/24",
                  - "10.10.0.0/24",
                ]
              - description      = ""
              - from_port        = 3306
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = []
              - self             = false
              - to_port          = 3306
            },
          - {
              - cidr_blocks      = [
                  - "10.10.100.0/24",
                  - "10.10.200.0/24",
                  - "10.10.1.0/24",
                  - "10.10.0.0/24",
                ]
              - description      = ""
              - from_port        = 8503
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = []
              - self             = false
              - to_port          = 8503
            },
          - {
              - cidr_blocks      = [
                  - "10.10.100.0/24",
                  - "10.10.200.0/24",
                  - "10.10.1.0/24",
                  - "10.10.0.0/24",
                ]
              - description      = ""
              - from_port        = 8800
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = []
              - self             = false
              - to_port          = 8808
            },
          - {
              - cidr_blocks      = [
                  - "10.10.100.0/24",
                  - "10.10.200.0/24",
                  - "10.10.1.0/24",
                  - "10.10.0.0/24",
                ]
              - description      = ""
              - from_port        = 8889
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = []
              - self             = false
              - to_port          = 8889
            },
          + {
              + cidr_blocks      = [
                  + "10.10.100.0/24",
                  + "10.10.200.0/24",
                  + "10.10.1.0/24",
                  + "10.10.0.0/24",
                ]
              + description      = ""
              + from_port        = 9200
              + ipv6_cidr_blocks = []
              + prefix_list_ids  = []
              + protocol         = "tcp"
              + security_groups  = []
              + self             = false
              + to_port          = 9200
            },
          + {
              + cidr_blocks      = [
                  + "10.10.100.0/24",
                  + "10.10.200.0/24",
                  + "10.10.1.0/24",
                  + "10.10.0.0/24",
                ]
              + description      = null
              + from_port        = 3306
              + ipv6_cidr_blocks = []
              + prefix_list_ids  = []
              + protocol         = "tcp"
              + security_groups  = []
              + self             = false
              + to_port          = 3306
            },
          + {
              + cidr_blocks      = [
                  + "10.10.100.0/24",
                  + "10.10.200.0/24",
                  + "10.10.1.0/24",
                  + "10.10.0.0/24",
                ]
              + description      = null
              + from_port        = 8503
              + ipv6_cidr_blocks = []
              + prefix_list_ids  = []
              + protocol         = "tcp"
              + security_groups  = []
              + self             = false
              + to_port          = 8503
            },
          + {
              + cidr_blocks      = [
                  + "10.10.100.0/24",
                  + "10.10.200.0/24",
                  + "10.10.1.0/24",
                  + "10.10.0.0/24",
                ]
              + description      = null
              + from_port        = 8800
              + ipv6_cidr_blocks = []
              + prefix_list_ids  = []
              + protocol         = "tcp"
              + security_groups  = []
              + self             = false
              + to_port          = 8808
            },
          + {
              + cidr_blocks      = [
                  + "10.10.100.0/24",
                  + "10.10.200.0/24",
                  + "10.10.1.0/24",
                  + "10.10.0.0/24",
                ]
              + description      = null
              + from_port        = 8889
              + ipv6_cidr_blocks = []
              + prefix_list_ids  = []
              + protocol         = "tcp"
              + security_groups  = []
              + self             = false
              + to_port          = 8889
            },
        ]
        name                   = "Custom apps prod"
        owner_id               = "xxxxxxxxxx"
        revoke_rules_on_delete = false
        tags                   = {
            "Name" = "Custom apps ${var.env} - TF"
        }
        vpc_id                 = "vpc-xxxxxxxxxxxxxxx"

        timeouts {}
    }

如果您转换您的ingress and egress你的块内aws_security_group资源到个人aws_安全_组_规则 http://terraform.io/docs/providers/aws/r/security_group_rule.html资源，那么当修改任何一个或多个其他规则时，将不会重新创建规则。例如：

resource "aws_security_group_rule" "mysql" {
  type              = "ingress"
  from_port         = 3306
  to_port           = 3306
  protocol          = "tcp"
  cidr_blocks       = [
    data.terraform_remote_state.vpc.outputs.m-1a_cidr,
    data.terraform_remote_state.vpc.outputs.m-1b_cidr,
    data.terraform_remote_state.vpc.outputs.p-1b_cidr,
    data.terraform_remote_state.vpc.outputs.p-1a_cidr,
  ]
  security_group_id = aws_security_group.sg_apps.id
}

将替换您的第一个入口块。

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

Terraform

terraformprovideraws

Terraform：添加单个规则时，所有安全组规则都会被销毁并替换的相关文章

如何在 aws elastic beanstalk 环境实例启动上运行 shell 脚本

我正在使用 Terraform 脚本创建 aws elastic beanstalk 环境我需要在实例启动时启动 shell 脚本我已经尝试过以下操作 resource aws elastic beanstalk environment
Terraform 上出现“无效的旧提供商地址”错误

我正在尝试使用 terraform v0 14 3 部署 bitbucket 管道以在谷歌云中创建资源运行 terraform 命令后管道失败并出现以下错误 Error Invalid legacy provider address T
Terraform 无效的“each”属性

我有一个 tfvars json 文件我想用它来传递我的服务器配置 test test machines master01 node type master image ubuntu 20 04 server type cx21 loca
Terraform：添加单个规则时，所有安全组规则都会被销毁并替换

地形信息地形 v0 12 18 提供商 aws v2 43 0 提供者模板 v2 1 2 我定义了一个安全组如果我跑terraform plan or terraform apply与我现有的堆栈相比没有任何待处理的更改状态完全是
如何使用 PowerShell 命令从 terraform Variables.tf 文件中提取变量值

我有一个变量 tf 文件其中包含所有项目变量我尝试使用 PowerShell 获取变量值变量 tf variable products default Product 1 Product 2 Product 3 Product 4 v
带有 CSV 文件的 azure Terraform 参数

我正在尝试使用 CSV 文件访问 terraform 变量数据创建资源组并将资源组的名称添加到 CSV 文件中并尝试访问代码这是代码 locals Resource groupname csvdecode file path modul
Terraform 中使用多个 user_data 文件

我正在尝试为常见任务例如文件夹创建和某些包安装提供一个通用的 user data 文件并为应用程序特定的配置提供一个单独的 user data 文件我正在尝试以下 user data data template file userd
如何在 Terraform 中定义一个根据变量可能为空的列表？

我需要在 Terraform v0 10 8 中定义一个资源该资源具有一个列表属性该属性可能为空也可能不为空具体取决于变量请参阅volume ids在下面的定义中 resource digitalocean droplet work
如何使用 Consul 中定义的默认值在 Terraform 中定义可选变量

我有一个 Terraform 脚本其中包含一些从 Consul 填充的变量我想在两种不同的场景中使用这个脚本场景 1 使用 Consul 的默认值一切正常场景 2 我需要覆盖一些变量我检查了 Terraform 文档发现我无法使
在 Terraform 中，数据源中可以有变量吗？

我想知道在 terraform 中调用数据源时是否可以使用变量而不是 data terraform remote state dev vpc 我想要一个变量调用 dev 像 data terraform remote state var
使用 terraform 为现有虚拟机启用 Azure Monitor

我正在尝试为现有虚拟机启用 azure 监视器功能该功能使用 terraform 检查虚拟机的运行状况和性能但我无法找到相应的文档你能帮我做同样的事情吗因为我想要对天蓝色进行详细的监控要在现有虚拟机上启用 VMinsights 您
有条件地在 Terraform 中创建单个模块

我一直在尝试有条件地使用根模块中的模块以便在某些环境下不会创建该模块许多人声称通过设置count在模块中使用条件将其设置为 0 或 1 就可以了 module conditionally used module source modul
如何构建 terraform 代码以在创建后获取 Lambda ARN？

这是我之前问过的一个问题如何使用 Terraform 获取 AWS Lambda ARN https stackoverflow com questions 65798783 how to get aws lambda arn using
地形破坏后保留资源

我想在关闭使用 terraform 创建的一堆资源包括 CloudWatch 日志组后保留 CloudWatch 日志有没有办法告诉terraform destroy节省一些资源我想我可以在调用 destroy 之前手动从 tfst
在 Azure Pipelines 构建中使用 Azure Repos git 模块源进行身份验证

我目前正在为 Azure DevOps 创建一个管道以验证 Terraform 配置并将其应用到不同的订阅我的 terraform 配置使用模块这些模块托管在与 terraform 配置相同的 Azure DevOps 项目中的其
如何将手动更改导入 Terraform 远程状态

我是 terraform 的新手我已经在 s3 中创建了远程 tfstate 现在在我的 AWS 基础设施中也完成了一些手动更改我需要将这些手动更改导入 tfstate 我对某些资源使用了导入命令但对于某些资源例如 IAM 策略等
Terraform - 如果在 for_each 内。我可以过滤 for_each 吗？

通过以下内容我可以循环遍历资源块轻松地将路由表关联添加到所有子网但是我只需要为我的公共子网创建关联我怎样才能使这个 if 语句起作用或者任何其他方式来过滤each value class pub 对于这个问题 resourc
如何使用 terraform 创建 azure 应用程序注册和客户端密钥

我正在尝试为 Azure 应用程序注册和客户端密钥创建 Terraform 代码对订阅具有读取访问权限的服务主体基本上我正在尝试将 Azuresafe 与 Terraform 集成并尝试确定如何逐步配置 https docs saf
如何让 Terraform 将空值替换为默认值？

Terraform 文档表明这应该已经发生 https www terraform io docs language expressions types html https www terraform io docs language e
限制 terraform 嵌套资源中的 AWS 安全组设置

我有一个aws directory service directory服务中定义的资源这会创建一个安全组 https registry terraform io providers hashicorp aws latest docs re

随机推荐

中传递多个变量' aria-label='使用 PHP 和 $_GET[''] 在中传递多个变量'> 使用 PHP 和 $_GET[''] 在中传递多个变量

我正在使用 PHP 根据变量创建链接目前我有这行代码我已经使用过多次并且工作完美 echo a href value2 a 以上全部在一行在接收页面我有 assignmentName GET assignName 它从 URL 中检索
C#.net 中具有不同间隔的多个计时器

我想要输入不同间隔的不同计时器例如如果我输入 4 则 4 个计时器创建并在 4 个标签中显示时间其中第一个计时器的时间在 1 秒内变化第二个计时器的时间在 2 秒内变化第三个计时器的时间在 3 秒内变化4tn 计时器的时间在 4
在 Azure 应用服务中部署前端和后端应用程序的最佳方法是什么？

我们正在分别使用 Reactjs 开发前端应用程序和使用 Nodejs 开发后端应用程序但我不太熟悉 Azure 应用服务后端的部署工作方式我已经成功部署了我们的前端它现在已在应用程序服务 URL 中启动并运行但我不确定如何处理后端
在android帮助中翻转位图？

我想为我的游戏节省内存我想问你因为我找不到任何东西上次我在这里问问题时我得到了很好的答案我可以在 Eclipse 中翻转位图这样我就可以节省精灵的内存吗我发现的所有教程都是关于旋转而不是翻转翻转位图的教程仅适用于 open G
通过 Websocket 传输视频

我正在尝试构建可以从双方传输视频的移动应用程序即视频通话之类的东西我研究了 webrtc 但这还没有为移动本机应用程序做好准备无论如何 webrtc 正在做的是允许浏览器直接捕获相机和音频而不需要插件等但在本机移动应用程序中捕获相机
SyntaxError：JSON 输入意外结束 - 这是为什么？

这是我使用express和node js编写的代码 const express require express const https require https const app express app get function req
我应该在哪里存储 jwt 令牌以在服务器端进行身份验证

在我的 Nodejs 应用程序中我使用 jwt 令牌进行身份验证现在在创建令牌后将对其进行验证为此它应该存储在某个地方以供验证之用所以我的问题是我应该将其存储在针对相关用户 ID 的单独数据库模式中还是应该将其存储在其他
using 语句和await 关键字在c# 中表现得很好吗

我有一种情况我正在做一个async调用一个返回和的方法IDisposable实例例如 HttpResponseMessage response await httpClient GetAsync new Uri http www goo
GLib-GObject-CRITICAL ...断言“夸克> 0”失败

我对 Gtk 编程相当陌生我正在使用 Gtkmm 库为我的应用程序编写一个简单的 GUI GUI 是一个更大的应用程序的一部分它实际上编译为两个单独的可执行文件但我不认为这是相关的因为这个问题只涉及两个可执行文件之一无论如何我在
python：重新启动循环

i have for i in range 2 n if something do something else do something else i 2 restart the loop 但这似乎不起作用有没有办法重新启动该循环 Th
ajax发布请求到php $_POST vars为空

我有一个 nginx 重写规则它将 img src 属性重定向到 php 页面在此 php 页面中我尝试发出 GET 请求成功后会向同一页面发出 POST 请求将从 GET 请求返回的数据作为数据发送为什么php脚本中 POST
Hadoop 中的分割大小与块大小

Hadoop 中的分割大小和块大小之间有什么关系当我读到this http willddy github io 2012 08 25 Hadoop Split and Block html 分割大小必须是块大小的n倍 n是整数并且n gt
iOS - iBeacon - iOS 7.1 更新后在后台作为信标进行广告（广播）

我正在尝试使用 iBeacon 制作一个应用程序其中一台设备将用作信标广播器另一台设备将用作接收器我经历了类似的事情在后台将 iPhone 作为 iBeacon 运行 https stackoverflow com q 1894432
保存小部件的屏幕截图

我想保存 Qt 中小部件的屏幕截图我创建了以下应该可以工作的代码 QWidget activeWidget getActiveWidget a function that returns the current widget if act
jQuery on click 不适用于 iPhone（触摸设备）

谁能向我解释一下为什么这在浏览器中有效但在苹果 iPhone 等移动设备上却无效在 iPhone 上我从来没有得到过hello来自警报为什么 div class close Click here div JS document on
按多列聚合，对一列求和并保留其他列？根据聚合值创建新列？ [复制]

这个问题在这里已经有答案了我有一个包含销售的数据框我需要将 df 聚合 2 列ProductID and Day并对不同列中每个聚合组的值求和Amount现在它显示总数我希望保留也可以分组的其他列行之间的值相同在这种情况下只是Pr
Mvvmlight 工具包 WPF4.5 中不存在 EventToCommand

我正在使用最新的 MVVM Light Toolkit 版本 4 1 26 24928 并且正在使用 WPF 4 5 编写程序现在我无法在 VS2012 XAML 文件中使用 EventToCommand 它说命名空间 clr names
ASP.Net 捆绑导致 HTTPS 错误

当 web config 中的调试标志设置为 true 时为什么会出现以下错误混合内容页面位于 https example com https example com 已加载完毕 HTTPS 但请求了不安全的脚本 http examp
hibernate.default_schema 是什么意思？

我正在读一本Ben Scheirman 的博客文章 http benscheirman com 2007 12 blame nhibernate why not关于他为了提高性能而进行的一些 NHibernate 调整文章最后有第 7
Terraform：添加单个规则时，所有安全组规则都会被销毁并替换

地形信息地形 v0 12 18 提供商 aws v2 43 0 提供者模板 v2 1 2 我定义了一个安全组如果我跑terraform plan or terraform apply与我现有的堆栈相比没有任何待处理的更改状态完全是