如何在GitLab Jobs中注入依赖并实现Terraform任务before_script全局执行

一、确保before_script在每个任务前运行 #

你当前的配置已经使用了全局before_script，默认会在所有Job的script执行前自动运行。需要注意两个关键细节：

• 如果某个Job单独定义了自身的before_script，会直接覆盖全局配置；若要保留全局逻辑，要么将全局脚本内容复制到局部，要么用extends关键字复用全局脚本块
• 全局before_script中的命令会按顺序执行，确保每个Job启动后都完成Terraform初始化、AWS身份配置等前置准备

二、在GitLab Jobs中注入Terraform依赖 #

有两种常用方式引入Terraform运行环境：

1. 使用官方Terraform镜像（推荐） #

直接在image字段指定HashiCorp官方的Terraform镜像，镜像已预装完整的Terraform工具，无需手动安装：

image: hashicorp/terraform:1.5.7  # 建议指定具体版本，避免版本兼容性问题

替换你示例中的terraform_image_path即可，所有Job会自动在预装Terraform的容器中运行。

2. 手动安装Terraform（适合自定义基础镜像） #

如果使用自定义基础镜像（如Ubuntu/CentOS），可以在before_script中添加安装命令：

before_script:
  - apt update && apt install -y wget unzip
  - wget https://releases.hashicorp.com/terraform/1.5.7/terraform_1.5.7_linux_amd64.zip
  - unzip terraform_1.5.7_linux_amd64.zip && mv terraform /usr/local/bin/
  - terraform --version
  # 其他初始化命令...

三、优化后的完整GitLab CI配置 #

结合你的需求，修正细节问题（如环境变量引用、Plan文件名规范）后的配置如下：

stages:
  - validate
  - plan
  - apply

# 使用官方指定版本的Terraform镜像
image: hashicorp/terraform:1.5.7

# 全局前置脚本，所有Job共享
before_script:
  # AWS身份认证：直接读取GitLab CI/CD变量，无需额外export（容器会自动识别环境变量）
  - rm -rf .terraform
  - terraform --version
  # 若使用远程backend（如S3），可添加-backend-config参数指定配置文件
  # - terraform init -backend-config=backend.tfvars
  - terraform init

validate:
  stage: validate
  script:
    - terraform validate

plan:
  stage: plan
  script:
    # 用固定文件名避免变量引用问题，或确保$Terraform_Plan已在CI/CD变量中定义
    - terraform plan -out=terraform.tfplan
  dependencies:
    - validate  # 依赖validate Job，确保先通过校验再执行计划生成
  artifacts:
    paths:
      - terraform.tfplan
    expire_in: 1h  # 设置产物过期时间，避免不必要的存储占用

apply:
  stage: apply
  script:
    - terraform apply -input=false terraform.tfplan
  dependencies:
    - plan  # 依赖plan Job，确保使用已生成的计划文件
  when: manual
  only:
    - main  # 限制仅主分支可触发手动部署，避免误操作

关键注意事项 #

• AWS密钥需在GitLab项目的Settings > CI/CD > Variables中配置AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY，并设置为Protected和Masked保障安全
• 若Terraform使用远程backend（如S3存储状态文件），需确保容器拥有对应资源的访问权限
• 多环境部署（dev/prod）可结合GitLab的Environment功能，或通过CI变量区分不同环境的配置文件

内容的提问来源于stack exchange，提问作者kishi