Azure Terraform中使用azurerm_virtual_machine_extension执行内联PowerShell脚本问题

问题根源 #

你的代码存在两个核心问题：

• 不必要的远程调用：CustomScriptExtension本身就在目标VM本地执行，无需通过-ComputerName调用WMI，这不仅冗余还可能引发权限问题。
• 转义混乱：Terraform HEREDOC、JSON字符串、PowerShell三层嵌套的引号转义错误，导致命令解析失败。

修正方案 #

1. 简化PowerShell逻辑（本地执行版） #

去掉远程调用，直接在本地操作服务：

param (
    [string]$VMUser,
    [string]$VMPassword
)

$account = ".\$VMUser"
$securePassword = ConvertTo-SecureString $VMPassword -AsPlainText -Force
$service = Get-WmiObject Win32_Service -Filter "name='postgresql-x64-16'"

$service.StopService() | Out-Null
# 使用SecureString避免明文风险，同时修正change方法的参数传递
$service.Change($null, $null, $null, $null, $null, $null, $account, $securePassword, $null, $null, $null) | Out-Null
$service.StartService() | Out-Null

2. 修正Terraform扩展配置 #

重点处理转义：在JSON的commandToExecute中，PowerShell的双引号需要用\"转义，Terraform变量直接插入，同时移除不必要的VMName参数：

resource "azurerm_virtual_machine_extension" "configure_postgresql_service" {
  name                 = "configure-postgresql-service"
  virtual_machine_id   = azurerm_windows_virtual_machine.virtual_machine.id
  publisher            = "Microsoft.Compute"
  type                 = "CustomScriptExtension"
  type_handler_version = "1.9"

  settings = <<SETTINGS
{
  "commandToExecute": "powershell -ExecutionPolicy Unrestricted -Command \"param([string]`$VMUser, [string]`$VMPassword); `$account = '.\\' + `$VMUser; `$securePassword = ConvertTo-SecureString `$VMPassword -AsPlainText -Force; `$service = Get-WmiObject Win32_Service -Filter `\"name='postgresql-x64-16'`\"; `$service.StopService() | Out-Null; `$service.Change(`$null, `$null, `$null, `$null, `$null, `$null, `$account, `$securePassword, `$null, `$null, `$null) | Out-Null; `$service.StartService() | Out-Null;\" -VMUser '${var.vm_user}' -VMPassword '${var.vm_password}'"
}
SETTINGS
}

关键优化点说明 #

• 移除-ComputerName：扩展在VM本地运行，直接操作本地服务即可，避免远程WMI调用的权限和网络问题。
• SecureString处理密码：避免明文密码在命令行中暴露，提升安全性。
• 正确转义嵌套引号：JSON字符串中的PowerShell双引号用\"转义，PowerShell内部的双引号用`\"转义，确保三层解析都能正确识别。
• 添加Out-Null：抑制命令输出，避免扩展因多余输出导致日志混乱。

调试建议 #

如果仍有问题，可通过以下方式排查：

• 查看VM扩展日志：路径为C:\WindowsAzure\Logs\Plugins\Microsoft.Compute.CustomScriptExtension
• 在VM本地手动执行简化后的PowerShell代码，验证逻辑正确性
• 检查Terraform输出的commandToExecute实际值（用terraform plan查看），确认转义后的命令符合预期

内容的提问来源于stack exchange，提问作者Nguyen Tung Son