Jenkins job执行Terraform脚本遇Permission Denied问题求助

问题原因 #

你遇到的权限拒绝本质是：sudo echo ... > 文件的执行逻辑导致重定向操作没有root权限。sudo仅为echo命令赋予了root身份，但文件重定向（>>）是由当前非root用户执行的，而该用户没有写入/opt/infrastructure-pipeline-terraform目录的权限，因此触发错误。

解决方案 #

方案1：让整个写入操作在sudo环境中执行

修改Terraform的local-exec命令，将重定向逻辑包裹到sudo启动的shell中，确保全流程使用root权限：

resource "aws_instance" "my_vm" {
  # 其他配置保持不变...

  provisioner "local-exec" {
    command = "sudo sh -c 'echo ${aws_instance.my_vm.public_ip} >> /opt/infrastructure-pipeline-terraform/inventory'"
  }
}

注意用单引号包裹内部的echo命令，避免Terraform插值时的语法冲突。

方案2：给Jenkins用户赋予目录写入权限

直接调整目标目录的权限，让运行Jenkins的用户（通常是jenkins用户）拥有写入权限，这样无需sudo即可写入：

1. 确认Jenkins运行用户：

ps aux | grep jenkins

2. 修改目录权限：

# 方式1：将目录所有权转移给jenkins用户
sudo chown -R jenkins:jenkins /opt/infrastructure-pipeline-terraform

# 方式2：开放目录的组写入权限（如果jenkins用户属于对应组）
sudo chmod -R g+w /opt/infrastructure-pipeline-terraform

修改权限后，恢复原来的local-exec命令即可：

provisioner "local-exec" {
  command = "echo ${aws_instance.my_vm.public_ip} >> /opt/infrastructure-pipeline-terraform/inventory"
}

方案3：用Terraform原生local_file资源替代local-exec

Terraform提供local_file资源专门管理本地文件，比local-exec更可靠，还能自动生成完整的inventory内容：

resource "aws_instance" "my_vm" {
  # 其他配置保持不变...
}

# 生成完整的inventory文件
resource "local_file" "tomcat_inventory" {
  filename = "/opt/infrastructure-pipeline-terraform/inventory"
  content = <<EOF
[tomcat]
${aws_instance.my_vm.public_ip}
EOF
}

该方案不需要提前创建空的inventory文件，Terraform会直接生成包含[tomcat]头部和EC2 IP的完整文件，只要运行Terraform的用户有目录写入权限即可。

方案4：在Jenkins Pipeline中单独处理IP写入

把IP写入inventory的步骤从Terraform中剥离到Jenkins Pipeline，更便于权限控制和流程管理：

1. 先在Terraform中添加输出，暴露EC2公网IP：

output "ec2_public_ip" {
  value = aws_instance.my_vm.public_ip
}

2. 在Jenkins Pipeline中，执行完terraform apply后获取IP并写入：

stage('Update Inventory') {
  steps {
    script {
      // 获取Terraform输出的EC2公网IP
      def ec2Ip = sh(script: 'terraform output -raw ec2_public_ip', returnStdout: true).trim()
      // 生成完整的inventory文件
      sh "echo '[tomcat]' > /opt/infrastructure-pipeline-terraform/inventory"
      sh "echo ${ec2Ip} >> /opt/infrastructure-pipeline-terraform/inventory"
    }
  }
}

如果Jenkins用户没有写入权限，可以在sh命令前添加sudo。

内容的提问来源于stack exchange，提问作者CapMarian