Terraform Moduleを使い別ディレクトリのリソースを参照させたい

Question

表題の件で確認させてください。

現在以下フォルダ構成の環境でTerraform環境を構築しております。

├─tf-common
│  │  output.tf
│  │  provider.tf
│  │  sns.tf
│  │  terraform.tfvars
│
└─tf-tenant
    │  .terraform.lock.hcl
    │  cloudwatch.tf
    │  provider.tf
    │  route53.tf
    │  Tenant-0041.tfvars
    │
    └─.terraform
        │  terraform.tfstate

tf-tenantフォルダ配下でterraform planを実行すると以下のようにエラーとなりました。
sns_topicが参照できない旨のエラーとなるのですが、解決できず困っております。

│ Error: Reference to undeclared resource
│
│   on cloudwatch.tf line 23, in resource "aws_cloudwatch_metric_alarm" "healthcheck":
│   23:   alarm_actions     = ["${aws_sns_topic.topic.arn}"]
│
│ A managed resource "aws_sns_topic" "topic" has not been declared in the root module.

調べてみると、moduleを利用することで別フォルダのリリースを参照できるとのことなのですが、
今ひとつ使い方がわからず、困っております。

この環境の場合、どういったmoduleを利用することでsnsのリソースを参照させることができるのでしょうか？

念のためですが、cloudwatch.tfとsns.tfのコードは以下となります。
cloudwatch.tf

6  resource "aws_cloudwatch_metric_alarm" "healthcheck" {
7  count               = length(aws_route53_health_check.HealthCheck)
8  provider            = aws.virginia
9  alarm_name          = var.targets[count.index].alarm_name
10  comparison_operator = "LessThanThreshold"
11  evaluation_periods  = "1"
12  metric_name         = "HealthCheckStatus"
13  namespace           = "AWS/Route53"
14  period              = "60"
15  statistic           = "Minimum"
16  threshold           = "1"
17
18  dimensions = {
19    HealthCheckId = aws_route53_health_check.HealthCheck[count.index].id
20  }
21  alarm_description = "Send an alarm if ${var.environment} is down"
22  actions_enabled   = "true"
23  alarm_actions     = ["${aws_sns_topic.topic.arn}"]
}

sns.tf

resource "aws_sns_topic" "topic" {
  #  name     = var.sns_topic
  name     = var.service_name
  provider = aws.virginia
  delivery_policy = jsonencode({
    "http" : {
      "defaultHealthyRetryPolicy" : {
        "minDelayTarget" : 20,
        "maxDelayTarget" : 20,
        "numRetries" : 3,
        "numMaxDelayRetries" : 0,
        "numNoDelayRetries" : 0,
        "numMinDelayRetries" : 0,
        "backoffFunction" : "linear"
      },
      "disableSubscriptionOverrides" : false,
      "defaultThrottlePolicy" : {
        "maxReceivesPerSecond" : 1
      }
    }
  })

}


resource "aws_sns_topic_subscription" "default" {
  topic_arn = aws_sns_topic.topic.arn
  provider  = aws.virginia
  protocol  = "lambda"
  endpoint  = aws_lambda_function.default.arn
}

Comments

[68user]

ご参考: https://mpon.hatenablog.com/entry/2016/12/13/030907

[68user]

その前に、common：tenant が 1対多でいいんですかね。
そして全体を 1つの tfstate にするのはOK?
どちらも yes であるなら、

module-common/
module-tenant/
main.tf

という構成にして、main.tf は
module "common" {
source = "./module-common"
}
module "tenant1" {
source = "./module-tenant"
sns_topic = common.aws_sns_topic
}
module "tenant2" {
source = "./module-tenant"
sns_topic = common.aws_sns_topic
}
とかそういう感じです。

まずは tfstate を分けるかどうかを決めましょう。module 化はキレイに整理するための手段なのでどっちでも (module 化したほうがよいとは思いますが)。

[68user]

> 調べてみると、moduleを利用することで別フォルダのリリースを参照できるとのことなのですが、
module でそういうのできましたっけ。
別 tfstate を見るなら terraform_remote_state だと思います。

Answer 1

moduleを利用することで別フォルダのリリースを参照できる

今回はディレクトリが分かれていることではなくtfstateが分かれていることが問題です。
問題とは書きましたが、それが必ずしも悪いことではありません。
tf-commonというディレクトリは恐らく各tenantで使用する共通リソースを定義するためのディレクトリとしてtfstateを分けているんだと思うので、そのディレクトリをmoduleとして読み込むのは微妙だと思います。
※そもそものディレクトリ構成がどうであるべきかまではここで話し切るのは難しいので省略します。

今回であれば以下のいずれかで対応することになるかなと思います

• Data Sourceで、別tfstateで管理しているSNS topicのARNを取得する
  • Data Sourceでtfstate管理外のリソースを検索して情報を取得できます。SNSトピックはトピック名でARNを取得できます。
  • 当然ながら、参照すべきリソースが既にないとエラーになってしまう可能性が高いです。
  • Data Source: aws_sns_topic
• terraform_remote_stateを使う
  • 既に言及されていますが、適切にoutputを定義することによって別のtfstateの値を参照することができます
  • 【Terraform】terraform_remote_stateデータソースの使い方
  • Terraformのremote_stateについておさらい
• ARNを直書きする
  • おすすめはしませんが、一応これでも解決はできます。

上記はtf-commonとtf-tenantが別tfstateであることを前提に書いていますが、同じtfstateにしてもいいということであれば話は変わってきます。

---

質問と関係ないですが

"${aws_sns_topic.topic.arn}"
このような表記は古い表記で、変数を単体で参照したいだけなら
aws_sns_topic.topic.arn
で十分です。
"Send an alarm if ${var.environment} is down"
の箇所は単体で参照しているのではなく別の文字列の中で変数を展開させていますが、このような場合は従来どおり囲ってあげる必要があります。

また、
count = length(aws_route53_health_check.HealthCheck)
のようにするよりも、for_eachを使ったループにしたほうが、リソース名のmapで各リソースが定義されるので該当のリソースを参照したいときに楽です。
countだとindexの数字から対象リソースを特定することが難しいです。