GitLab合并请求流水线OpenTofu Plan失败的解决方案咨询

问题背景 #

你当前使用GitLab的OpenTofu全流水线组件，合并请求流水线因无法获取云凭据导致TF Plan失败，同时希望在保护云凭据的前提下优化流水线。

原始CI配置 #

variables:
  TF_VAR_REGION: "sweden central"
  TF_VAR_PROJECT_NAME: "myproject"
  TF_VAR_ENVIRONMENT: "$CI_COMMIT_REF_NAME"
  TF_STATE_NAME: ""

before_script:
  - |
    if [ "$CI_COMMIT_REF_NAME" == "main" ]; then
      export TF_VAR_ENVIRONMENT="prd"
      export TF_STATE_NAME="prd"
    elif [ "$CI_COMMIT_REF_NAME" == "staging" ]; then
      export TF_VAR_ENVIRONMENT="tst"
      export TF_STATE_NAME="tst"
    else
      export TF_VAR_ENVIRONMENT="dev-${CI_COMMIT_REF_NAME,,}"
      export TF_STATE_NAME="dev-${CI_COMMIT_REF_NAME,,}"
    fi

include:
  - template: Security/SAST.gitlab-ci.yml
  - component: $CI_SERVER_FQDN/components/opentofu/full-pipeline@0.25.0
    inputs:
      version: 0.25.0
      root_dir: terraform

stages: [validate, test, build, deploy, cleanup]

错误信息 #

OpenTofu已成功初始化！
规划失败。OpenTofu生成此规划时遇到错误。
╷
│ 错误：未找到有效的凭据来源
│ 
│   关联 provider["registry.opentofu.org/hashicorp/aws"],
│   在 provider.tf 第2行，provider "aws" 块中：
│    2: provider "aws" {
│ 
│ 请参考相关文档了解提供凭据的方法。
│ 
│ 错误：刷新缓存凭据失败，未找到EC2 IMDS角色，
│ 操作错误 ec2imds: GetMetadata，请求已取消，上下文超时
│ 
╵

可行解决方案 #

方案1：为合并请求提供受限只读凭据（保留Plan同时保护敏感权限） #

这个方案既能让合并请求运行TF Plan（方便预览变更），又不会暴露全权限凭据：

• 创建一个受限云IAM角色/用户，仅赋予读取现有资源状态和规划的权限（比如AWS的ReadOnlyAccess，或更细粒度的s3:GetObject用于状态存储、ec2:Describe*等）
• 在GitLab项目的CI/CD变量中添加该凭据为非保护变量（命名为MR_AWS_ACCESS_KEY_ID、MR_AWS_SECRET_ACCESS_KEY），因为合并请求流水线无法访问保护变量
• 修改before_script，根据是否为合并请求切换凭据：

  before_script:
    - |
      # 原有环境变量逻辑保留
      if [ "$CI_COMMIT_REF_NAME" == "main" ]; then
        export TF_VAR_ENVIRONMENT="prd"
        export TF_STATE_NAME="prd"
      elif [ "$CI_COMMIT_REF_NAME" == "staging" ]; then
        export TF_VAR_ENVIRONMENT="tst"
        export TF_STATE_NAME="tst"
      else
        export TF_VAR_ENVIRONMENT="dev-${CI_COMMIT_REF_NAME,,}"
        export TF_STATE_NAME="dev-${CI_COMMIT_REF_NAME,,}"
      fi
      # 新增凭据切换逻辑
      if [ -n "$CI_MERGE_REQUEST_ID" ]; then
        # 合并请求流水线使用只读凭据
        export AWS_ACCESS_KEY_ID="$MR_AWS_ACCESS_KEY_ID"
        export AWS_SECRET_ACCESS_KEY="$MR_AWS_SECRET_ACCESS_KEY"
      else
        # 正式分支使用全权限保护凭据
        export AWS_ACCESS_KEY_ID="$PROD_AWS_ACCESS_KEY_ID"
        export AWS_SECRET_ACCESS_KEY="$PROD_AWS_SECRET_ACCESS_KEY"
      fi
  

• 确保OpenTofu状态后端（比如S3）允许该受限用户读取状态文件

方案2：跳过合并请求的TF Plan阶段 #

如果不需要在合并请求中预览变更，可以直接跳过Plan步骤：

方法A：通过组件输入参数控制

利用OpenTofu组件的skip_plan输入参数，仅在合并请求时跳过：

include:
  - template: Security/SAST.gitlab-ci.yml
  - component: $CI_SERVER_FQDN/components/opentofu/full-pipeline@0.25.0
    inputs:
      version: 0.25.0
      root_dir: terraform
      skip_plan: $([ -n "$CI_MERGE_REQUEST_ID" ] && echo "true" || echo "false")

方法B：覆盖组件的Plan Job规则

在CI配置末尾添加规则，让Plan job仅在非合并请求时运行：

opentofu:plan:
  rules:
    - if: '$CI_MERGE_REQUEST_ID'
      when: never
    - when: always

方案3：允许合并请求访问保护凭据（需谨慎使用） #

如果信任所有指向保护分支的合并请求提交者，可以让合并请求流水线访问保护变量：

1. 在GitLab项目设置 > 仓库 > 保护分支中，确保合并请求的目标分支（比如main、staging）是保护分支
2. 进入项目设置 > CI/CD > 流水线权限，勾选允许合并请求流水线访问保护变量
3. 这样合并请求流水线就能使用保护的云凭据，但需严格控制合并请求的审批流程，避免凭据泄露风险

内容的提问来源于stack exchange，提问作者Erik