GitLab CI多阶段作业间数据持久化解决方案咨询

针对你拆分Terraform和Ansible部署阶段后的数据共享问题，以下是几种实用的解决方式，核心是利用GitLab CI的Artifacts实现阶段间文件传递，结合Terraform状态管理优化流程：

1. 核心方案：用Artifacts传递必要文件 #

GitLab CI的Artifacts可以将一个阶段生成的文件上传到GitLab服务器，供后续阶段下载使用。这是解决你问题的最直接方式。

示例CI配置 #

stages:
  - deploy-dev-terraform
  - deploy-dev-ansible

deploy-dev-terraform:
  stage: deploy-dev-terraform
  script:
    # 生成无密码SSH密钥对，用于Ansible连接
    - ssh-keygen -t rsa -b 4096 -f ./ansible_ssh_key -N ""
    # 执行Terraform部署脚本（脚本内需将公钥注入GCP虚拟机元数据）
    - ./deploy_terraform.sh
    # 从Terraform输出提取虚拟机IP，生成Ansible Inventory文件
    - echo "[dev]" > inventory.ini
    - terraform output -raw vm_public_ip >> inventory.ini
  # 定义需要传递给下一阶段的文件
  artifacts:
    paths:
      - ansible_ssh_key  # Ansible连接用的私钥
      - inventory.ini    # Ansible主机清单
      - terraform.tfstate  # 本地Terraform状态文件（如果用本地状态）
    expire_in: 1h  # 敏感文件设置短过期时间，降低安全风险
    when: on_success  # 仅当作业成功时上传Artifacts

deploy-dev-ansible:
  stage: deploy-dev-ansible
  needs: ["deploy-dev-terraform"]  # 明确依赖上一阶段作业，确保获取Artifacts
  script:
    # 修复SSH私钥权限（Ansible要求私钥权限为600，否则报错）
    - chmod 600 ansible_ssh_key
    # 执行Ansible部署脚本，指定Inventory和私钥
    - ./deploy_ansible.sh -i inventory.ini --private-key=./ansible_ssh_key

2. 优化方案：使用Terraform远程状态替代本地文件传递 #

如果你的Terraform使用远程状态存储（比如GCP Cloud Storage），可以避免传递terraform.tfstate文件，更安全且可靠：

• 在deploy_terraform.sh中配置Terraform远程后端（示例）：

cat <<EOF > backend.tf
terraform {
  backend "gcs" {
    bucket = "your-terraform-state-bucket"
    prefix = "dev/terraform.tfstate"
  }
}
EOF
terraform init -backend-config=backend.tf

• 第二阶段的Ansible作业中，无需依赖terraform.tfstate，直接通过terraform output获取虚拟机IP：

deploy-dev-ansible:
  stage: deploy-dev-ansible
  needs: ["deploy-dev-terraform"]
  script:
    - chmod 600 ansible_ssh_key
    # 初始化Terraform并读取远程状态输出
    - terraform init -backend-config=backend.tf
    - echo "[dev]" > inventory.ini
    - terraform output -raw vm_public_ip >> inventory.ini
    - ./deploy_ansible.sh -i inventory.ini --private-key=./ansible_ssh_key

关键注意事项 #

• 敏感数据安全：SSH私钥属于敏感信息，务必设置expire_in缩短Artifacts存储时间；也可以考虑将生成的私钥存入GitLab CI/CD变量（通过echo "$ANSIBLE_SSH_KEY" > ansible_ssh_key在第二阶段恢复），但Artifacts更直接。
• 文件权限：第二阶段必须将SSH私钥权限改为600，否则SSH客户端会拒绝使用该密钥。
• Cache vs Artifacts：不要用Cache传递部署所需文件，Cache是用于缓存依赖包以加速构建，不保证跨阶段的可靠性；Artifacts才是专门用于阶段间传递构建产物的机制。

内容的提问来源于stack exchange，提问作者Harout