Terragrunt与AWS ACM模块集成问题解析：Route53 Zone ID传递错误

问题背景

在使用Terragrunt调用terraform-aws-modules/acm模块创建SSL证书时，开发者遇到了一个关于Route53 Zone ID传递的验证错误。该问题表现为在证书DNS验证阶段，AWS API返回了参数验证失败的错误，提示Zone ID长度超过32个字符的限制。

错误现象分析

当执行terragrunt apply命令时，系统尝试创建Route53记录以完成证书的DNS验证，但AWS API返回了以下错误：

Error: reading Route 53 Hosted Zone ({"subdomain.domain.ac.uk":"ZXXXXXXXXXXXXXXXXXXX"}): operation error Route 53: GetHostedZone, https response error StatusCode: 400, RequestID: f2fa3d59-1fa2-4b48-8d44-af021930cabc, InvalidInput: 1 validation error detected: Value '{"subdomain.domain.ac.uk":"ZXXXXXXXXXXXXXXXXXXX"}' at 'resourceId' failed to satisfy constraint: Member must have length less than or equal to 32

关键点在于错误信息显示AWS API接收到的不是预期的Zone ID字符串(如ZXXXXXXXXXXXXXXXXXXX)，而是一个JSON对象结构{"subdomain.domain.ac.uk":"ZXXXXXXXXXXXXXXXXXXX"}。

根本原因

深入分析后发现，问题根源在于zone_id参数的传递方式。开发者使用了另一个模块(terraform-aws-modules/route53)的输出作为zone_id输入，而该模块的输出结构为映射(Map)类型，而非简单的字符串。

具体表现为：

• 预期输入：zone_id = "ZXXXXXXXXXXXXXXXXXXX"
• 实际输入：zone_id = {"subdomain.domain.ac.uk":"ZXXXXXXXXXXXXXXXXXXX"}

这种数据结构差异导致AWS API在解析参数时失败，因为它期望接收一个简单的Zone ID字符串，而不是包含域名映射的复杂结构。

解决方案

要解决这个问题，需要确保传递给ACM模块的zone_id是纯字符串格式。有几种可行的解决方法：

1. 直接使用字符串值： 如果Zone ID是已知的固定值，可以直接在terragrunt.hcl中硬编码：

   zone_id = "ZXXXXXXXXXXXXXXXXXXX"
   

2. 提取映射中的值： 当从其他模块获取zone_id时，需要明确提取映射中的具体值：

   zone_id = values(dependency.dns.outputs.route53_zone_zone_id)[0]
   

3. 修改上游模块输出： 在生成zone_id的模块中，确保输出的是字符串而非映射结构。

经验总结

这个案例揭示了在Terragrunt和Terraform模块集成时需要注意的几个重要方面：

1. 数据类型一致性：不同模块间的输入输出必须保持数据类型一致，特别是当使用模块依赖时。

2. 调试技巧：使用--terragrunt-debug参数生成的terragrunt-debug.tfvars.json文件是排查此类问题的有力工具，它能清晰展示最终传递给Terraform的参数结构。

3. 模块文档审查：在使用任何Terraform模块前，应仔细阅读其输入输出文档，了解预期的数据类型和结构。

4. 渐进式验证：对于复杂的多模块部署，建议采用分阶段验证的方式，先确认各模块单独工作正常，再逐步集成。

通过这个案例，我们认识到在基础设施即代码(IaC)实践中，数据类型和结构的一致性至关重要，特别是在模块间交互时。正确的参数传递方式可以避免许多看似复杂的问题。