如何在terraform中加密密码或敏感数据？

我想为aws中的its创建rds实例和整个必需的基础设施。我无法理解terraform的安全部分。我想至少在.tfstate中加密敏感数据。e、 g:rds实例的密码/用户名等。存储.tfstate敏感数据的最佳方式是什么？如果不支持，请建议其他方法？谢谢。

使用AWS提供商作为示例

建议将.tfstate文件保存到s3存储桶中，并对其设置策略，使其仅指定有权访问此存储桶和相关kms密钥的角色

terraform {
  required_version = "~> 0.10"

  backend "s3" {
    bucket  = "<global_unique_bucket_name>"
    key     = "development/vpc.tfstate"
    region  = "ap-southeast-2"
    kms_key_id = "alias/terraform"
    encrypt = true
  }
}

地形{
必需的\u版本=“~>0.10”
后端“s3”{
bucket=“”
key=“开发/vpc.tfstate”
region=“ap-Southwest-2”
kms_key_id=“别名/地形”
加密=真
}
}

始终在该s3存储桶上启用版本控制