🎯 מטרות הלמידה

• להבין מה sensitive = true עושה בפועל ב-outputs ובמשתנים
• לראות שהדגלת sensitive אינה מונעת אחזור ערך ב-CLI או מתוך ה-state
• להבין מה קורה כשמשתמשים במשתנה sensitive ב-output בלי שיציינו sensitive = true בו
• להכיר את הבאג בהתנהגות sensitive ב-Terraform וליישב אותו נכון
• להבין למה חיוני להגנ על הגישה לקובץ ה-state

חלק 1: הגדרת output כ-sensitive

הסבר

מוסיפים sensitive = true ל-output שהוגדר ב-outputs.tf. לאחר terraform apply -auto-approve, ה-output לא מוצג יותר בסופ ה-apply — במקומו מופיע (sensitive value).

נקודות מפתח

• במצב רגיל (sensitive = false) — הערך מופיע בסוף ה-apply
• במצב sensitive — מופיע (sensitive value) ולא הערך
• זה טוב ל-logs: מונע מחשיפת ערך בלוגים, אולם לא מונע אחזור דרך CLI

קוד / תצורה

# outputs.tf
output "s3_bucket_name" {
  value       = aws_s3_bucket.project_bucket.bucket
  sensitive   = true
  description = "The name of the S3 bucket."
}

terraform apply -auto-approve
# Outputs:
# s3_bucket_name = (sensitive value)   <-- value is redacted in logs

חלק 2: ערך sensitive ניתן עדיין לאחזר

הסבר