如何为Terraform模块source传入动态GitLab认证令牌？

为啥直接用变量会报错？ #

Terraform的模块source是初始化阶段就得确定的参数，而普通变量是在执行阶段才解析的，两者时机不匹配，所以会触发"value must be known"错误。

三种可行方案 #

1. 用环境变量传令牌（推荐GitLab CI场景） #

在GitLab的CI/CD变量里设置GITLAB_TOKEN，类型选掩码防止泄露。然后在Terraform代码里直接读取这个环境变量：

module "ec2_instance" {
  source = "git::https://username:${env("GITLAB_TOKEN")}@gitlab.my.company.com/aws-ec2.git"
  # 填写你的EC2模块参数，比如instance_type、ami_id等
}

执行terraform init时，Terraform会自动把环境变量的值拼接到源地址中，无需硬编码令牌。

2. 本地开发用Terraform配置文件存凭据 #

如果是本地开发环境，不要把令牌写进代码，而是放在用户主目录的.terraformrc文件中：

1. 新建或编辑~/.terraformrc（Windows系统为%APPDATA%\terraform.rc），添加以下内容：

credentials "gitlab.my.company.com" {
  token = "你的GitLab令牌"
}

2. 模块源地址简化为不带令牌的形式：

module "ec2_instance" {
  source = "git::https://gitlab.my.company.com/aws-ec2.git"
  # 模块参数...
}

Terraform初始化时会自动读取该配置文件中的凭据，代码无需暴露令牌。记得把.terraformrc加入.gitignore，避免提交到代码仓库。

3. GitLab内部模块用CI_JOB_TOKEN（零配置） #

如果模块仓库和当前项目在同一个GitLab实例下，可直接使用GitLab内置的CI_JOB_TOKEN，无需额外创建令牌：

module "ec2_instance" {
  source = "git::https://gitlab-ci-token:${env("CI_JOB_TOKEN")}@gitlab.my.company.com/aws-ec2.git"
  # 模块参数...
}

前提是模块仓库的设置→仓库权限中，允许当前项目的CI/CD作业访问该仓库。

注意点 #

• 所有令牌类敏感信息都要设为掩码变量或存于本地配置，绝对不能明文写入代码并提交到仓库
• 本地的.terraformrc一定要添加到忽略提交列表，防止令牌泄露

内容的提问来源于stack exchange，提问作者mgn