使用Terraform向Azure虚拟机传文件时WinRM连接失败的排查咨询

针对你遇到的Terraform通过WinRM向Azure Windows虚拟机复制文件失败的问题，结合你的配置和环境，可从以下几个关键方面修复：

1. 完善Azure VM的WinRM服务配置 #

你的azurerm_virtual_machine中仅开启了WinRM HTTP协议，但未完成服务初始化配置。需要在os_profile_windows_config中添加完整的WinRM初始化脚本，确保VM内WinRM服务正确启动并允许远程连接：

修改VM配置中的os_profile_windows_config部分：

os_profile_windows_config {
  enable_automatic_upgrades = false
  timezone                  = "Central European Standard Time"
  winrm {
    protocol = "HTTP"
  }
  # 添加自定义脚本初始化WinRM
  custom_data = <<-EOF
    <powershell>
    # 启用WinRM服务并设置开机自启
    Start-Service WinRM
    Set-Service -Name WinRM -StartupType Automatic
    # 配置WinRM允许未加密连接和Basic认证
    winrm set winrm/config/service '@{AllowUnencrypted="true"}'
    winrm set winrm/config/service/auth '@{Basic="true"}'
    winrm set winrm/config/client/auth '@{Basic="true"}'
    # 开放本地防火墙5895端口
    New-NetFirewallRule -DisplayName "WinRM-HTTP-In-TCP" -Direction Inbound -LocalPort 5895 -Protocol TCP -Action Allow
    </powershell>
  EOF
}

2. 修正连接目标地址 #

你当前使用虚拟机的私有IP作为WinRM连接地址，如果你的Terraform执行环境（本地机器）不在Azure虚拟网络的可访问范围内（无VPN/ExpressRoute），私有IP无法直接访问。需替换为虚拟机的公网IP：

修改null_resource "copy_files"中的for_each和host配置：

resource "null_resource" "copy_files" {
  # 改用公网IP作为连接目标
  for_each = { for idx, vm in azurerm_virtual_machine.workstation : idx => azurerm_public_ip.workstation[idx].ip_address }

  provisioner "file" {
    source      = "/home/user_name/files/setup.exe"
    # 修正路径转义：Terraform字符串中反斜杠需双写
    destination = "\\\\${each.value}\\C$\\users\\public"
  }

  connection {
    type     = "winrm"
    # 使用变量中定义的管理员账号，避免硬编码错误
    user     = local.domain.default_local_admin.username
    password = local.secret
    host     = each.value
    timeout  = "5m"
    insecure = true
  }

  depends_on = [
    azurerm_virtual_machine.dc,
    azurerm_virtual_machine.workstation
  ]
}

3. 修复文件路径转义错误 #

你当前的destination路径转义错误，Terraform字符串中反斜杠需要双写才能正确解析，否则路径会被识别为无效格式。修正后应为：

destination = "\\\\${each.value}\\C$\\users\\public"

4. 本地客户端环境验证 #

• 确保本地安装WinRM客户端依赖：Terraform的file provisioner底层依赖pywinrm，执行pip install pywinrm完成安装。
• 若使用Ansible，需在ansible.cfg中添加配置允许跳过证书验证：

  [defaults]
  ansible_winrm_server_cert_validation=ignore
  

5. 验证VM本地防火墙配置 #

即使Azure NSG开放了5895端口，VM本地Windows防火墙可能仍阻止WinRM连接。可通过Azure门户的「运行命令」功能，在目标VM上执行以下PowerShell命令确认规则状态：

Get-NetFirewallRule -DisplayName *WinRM*

如果规则不存在，执行前文custom_data中的防火墙命令手动添加。

内容的提问来源于stack exchange，提问作者Dave