通过Jenkins Pipeline传递Terraform变量，复用Azure RG模块遇问题求助

核心问题分析 #

你遇到的本质问题是：每次通过Jenkins带参数构建时，仅传递了当前要创建的单个资源组（RG）作为rg_map变量值，导致Terraform认为之前创建的RG已从for_each集合中移除，进而计划销毁旧资源。临时使用独立状态文件的方式会导致状态碎片化，难以维护，因此需要让Terraform每次执行时能感知到所有需要保留的RG集合。

方案一：维护完整的RG配置集合（推荐） #

思路 #

在代码仓库或Jenkins中维护一个包含所有已存在RG的完整配置文件，每次构建时将新传入的RG参数合并到该配置中，确保Terraform始终能看到完整的RG列表，从而仅执行新增/修改操作，不会误删旧资源。

操作步骤 #

1. 在代码仓库中存储完整RG配置
   在azure-rg目录下创建rg_config.tfvars文件，初始内容为已创建的RG配置：

   rg_map = {
     "rg-dev-01" = {
       resource_group_name     = "rg-dev-01"
       resource_group_location = "East Asia"
       tags = {
         env = "dev"
         owner = "team-a"
       }
     }
   }
   

2. Jenkins构建时动态更新配置文件
   在Jenkins Pipeline中添加步骤，根据本次构建传入的参数（如RG_NAME、RG_LOCATION、RG_TAGS），用脚本将新RG合并到rg_config.tfvars中。示例脚本（使用jq处理JSON格式的变量）：

   # 将现有tfvars转为JSON格式
   terraform console <<EOF > existing_rg.json
   jsonencode(var.rg_map)
   EOF
   
   # 合并新RG参数到现有配置
   jq -n \
     --arg name "$RG_NAME" \
     --arg loc "$RG_LOCATION" \
     --argjson tags "$RG_TAGS" \
     '($existing_rg[0] + {($name): {resource_group_name: $name, resource_group_location: $loc, tags: $tags}})' \
     --slurpfile existing_rg existing_rg.json \
     > updated_rg.json
   
   # 将JSON转回tfvars格式
   echo "rg_map = $(terraform console <<EOF
   jsondecode(file("updated_rg.json"))
   EOF
   )" > rg_config.tfvars
   

3. 提交更新后的配置到代码仓库
   将更新后的rg_config.tfvars提交回代码仓库，确保后续构建能继承完整配置：

   git add rg_config.tfvars
   git commit -m "Add new RG: $RG_NAME"
   git push origin main
   

4. 执行Terraform计划与应用
   使用完整的配置文件执行Terraform操作：

   terraform init
   terraform plan -var-file=rg_config.tfvars
   terraform apply -var-file=rg_config.tfvars -auto-approve
   

方案二：在模块调用层结合远程状态合并参数 #

思路 #

如果不想维护静态配置文件，可以在azure-rg/main.tf中读取Terraform远程状态里的已有RG信息，与本次传入的新RG参数合并后再调用模块，确保每次执行的rg_map是完整集合。

操作步骤 #

1. 修改主模块的变量与逻辑
   在azure-rg/variables.tf中新增变量接收本次传入的RG信息：

   variable "new_rg" {
     type = object({
       resource_group_name     = string
       resource_group_location = string
       tags                    = map(string)
     })
   }
   

   在azure-rg/main.tf中，读取远程状态中的已有RG，合并新RG后调用模块：

   # 读取已有RG的远程状态
   data "terraform_remote_state" "existing_rgs" {
     backend = "azurerm"
     config = {
       storage_account_name = "你的存储账户名"
       container_name       = "tfstate"
       key                  = "azure-rg/terraform.tfstate"
     }
   }
   
   # 合并已有RG与新RG
   locals {
     combined_rg_map = merge(
       data.terraform_remote_state.existing_rgs.outputs.rg_map,
       {
         var.new_rg.resource_group_name = var.new_rg
       }
     )
   }
   
   # 调用RG模块
   module "azure_rg" {
     source = "../az-tf-modules/azure-rg-module"
     rg_map = local.combined_rg_map
   }
   
   # 输出完整RG列表，供后续构建读取
   output "rg_map" {
     value = module.azure_rg.rg_map
   }
   

2. Jenkins中传递新RG参数
   在Pipeline中直接传递本次要创建的RG参数：

   stage('Terraform Apply') {
     steps {
       sh '''
         terraform init
         terraform plan -var "new_rg={resource_group_name='rg-dev-02', resource_group_location='East Asia', tags={env='dev', owner='team-b'}}"
         terraform apply -var "new_rg={resource_group_name='rg-dev-02', resource_group_location='East Asia', tags={env='dev', owner='team-b'}}" -auto-approve
       '''
     }
   }
   

关键注意事项 #

• 无论使用哪种方案，都必须确保Terraform每次执行时的rg_map包含所有需要保留的RG，否则for_each会将不在集合中的资源标记为销毁。
• 推荐使用Azure Blob Storage作为Terraform远程状态存储，确保多构建节点能共享状态，避免状态不一致问题。
• 若需要删除RG，需通过修改完整配置文件（方案一）或传递删除参数的方式，让Terraform感知到集合的变化，而非直接手动删除Azure资源。

内容的提问来源于stack exchange，提问作者P Jay