为负载均衡器 terraform 设置 ssl 证书

Question

我在伦敦地区设置了一个证书，并连接到一个完美运行的负载均衡器侦听器。我正在尝试从同一个 Route53 域创建另一个证书并将其附加到侦听器，但这次是在爱尔兰地区。

我的地形看起来像

resource "aws_acm_certificate" "default" {
  count       = var.prod ? 1 : 0
  domain_name = "www.example.uk"
  subject_alternative_names = [
    "example.uk",
  ]
  validation_method = "DNS"
}

resource "aws_route53_record" "validation" {
  count   = var.prod ? 1 : 0
  name    = aws_acm_certificate.default[count.index].domain_validation_options[count.index].resource_record_name
  type    = aws_acm_certificate.default[count.index].domain_validation_options[count.index].resource_record_type
  zone_id = "Z0725470IF9R8J77LPTU"
  records = [
  aws_acm_certificate.default[count.index].domain_validation_options[count.index].resource_record_value]
  ttl = "60"
}

resource "aws_route53_record" "validation_alt1" {
  count   = var.prod ? 1 : 0
  name    = aws_acm_certificate.default[count.index].domain_validation_options[count.index + 1].resource_record_name
  type    = aws_acm_certificate.default[count.index].domain_validation_options[count.index + 1].resource_record_type
  zone_id = "Z0725470IF9R8J77LPTU"
  records = [
  aws_acm_certificate.default[count.index].domain_validation_options[count.index + 1].resource_record_value]
  ttl = 60
}

resource "aws_acm_certificate_validation" "default" {
  count           = var.prod ? 1 : 0
  certificate_arn = aws_acm_certificate.default[count.index].arn
  validation_record_fqdns = [
    aws_route53_record.validation[count.index].fqdn,
    aws_route53_record.validation_alt1[count.index].fqdn,
  ]
}

这在我第一次在伦敦地区进行设置时非常有效，当我尝试运行它在 AWS 上的爱尔兰地区时，我收到以下错误：

我不是 100% 明白为什么证书验证似乎没有带回任何记录。

Answer 1

看起来验证记录不再是一个数组。我猜您在上次运行后的某个时候升级了 AWS Terraform 提供程序（如果您没有固定版本，它可能会自动更新）。 aws_acm_certificate_validation Terraform 资源发生了一些重大变化。我建议您查看最新的 example usage in the documentation 并重构您的 Terraform。

Answer 2

aws 提供程序版本 3 的 domain_validation_options 属性发生了变化。以前是 list 类型，现在更改为 set 类型。所以你有两个选择：

版本锁定 aws 提供商到版本 2

provider "aws" {
  version = "~>2"
}

更新代码以使用新的提供程序版本。为此，您需要将 count 更新为 for_each 并进行类似的更新，如下所示。

resource "aws_route53_record" "existing" {
  for_each = {
    for dvo in aws_acm_certificate.existing.domain_validation_options : dvo.domain_name => {
      name   = dvo.resource_record_name
      record = dvo.resource_record_value
      type   = dvo.resource_record_type
    }
  }

  allow_overwrite = true
  name            = each.value.name
  records         = [each.value.record]
  ttl             = 60
  type            = each.value.type
  zone_id         = data.aws_route53_zone.public_root_domain.zone_id
}
    
resource "aws_acm_certificate_validation" "existing" {
  certificate_arn         = aws_acm_certificate.existing.arn
  validation_record_fqdns = [for record in aws_route53_record.existing : record.fqdn]
}

您可以查看这里了解更多详情：https://registry.terraform.io/providers/hashicorp/aws/latest/docs/guides/version-3-upgrade#resource-aws_acm_certificate

为负载均衡器 terraform 设置 ssl 证书

Setting up ssl cert for load balancer terraform

ssl

amazon-web-services

amazon-route53

terraform