IBM Cloud Terraform部署场景下RestAPI Provider令牌过期问题：如何配置Provider依赖其他资源延迟初始化

很遗憾，你不能将Terraform的Provider配置为依赖其他资源后再初始化。这是因为Terraform的执行流程是固定的：先在计划阶段（Plan phase）完成所有Provider的初始化，之后才会进入应用阶段（Apply phase）执行资源的创建/更新操作。Provider的初始化时机远早于资源创建，所以无法让它等待其他资源完成后再启动。

你的问题根源非常清晰：data "ibm_iam_auth_token"是在计划阶段获取的IAM令牌，而IBM IAM令牌的有效期通常在1小时左右。当项目运行时长超过90分钟时，到执行restapi调用的阶段，这个提前获取的令牌已经过期，自然会返回401未授权错误。

解决这个问题的核心思路是延迟令牌的获取时机，让它在restapi调用前的应用阶段才获取，确保令牌是最新未过期的，同时不在Provider级别配置Authorization头，而是在具体的restapi资源中动态注入最新令牌。

下面给你两种可行的实现方案：

方案1：使用terraform_data + 本地文件获取令牌 #

这种方式通过terraform_data在应用阶段执行命令获取令牌，再读取本地文件传递给restapi资源：

# 在应用阶段（所有前置资源创建完成后）获取最新的IAM令牌
terraform_data "fetch_iam_token" {
  # 依赖所有需要先创建的资源，替换成你的实际资源
  depends_on = [
    # ibm_resource_instance.your_vpc,
    # ibm_kms_key.your_key,
  ]

  provisioner "local-exec" {
    # 使用IBM Cloud CLI获取令牌并写入本地文件
    command = <<EOF
      ibmcloud iam oauth-tokens --output json | jq -r '.iam_token' > ${path.module}/latest_token.txt
    EOF
  }
}

# 读取刚生成的令牌文件
data "local_file" "latest_token" {
  filename = "${path.module}/latest_token.txt"
  depends_on = [terraform_data.fetch_iam_token]
}

# 配置restapi Provider，这里不再包含Authorization头
provider "restapi" {
  uri                   = "https://your-target-api-endpoint"
  write_returns_object = true
  headers = {
    Content-Type  = "application/json"
    if-Match      = "*"
  }
}

# 你的restapi POST请求资源，动态注入最新令牌
resource "restapi_object" "your_api_call" {
  path = "/your-api-path"
  data = jsonencode({
    # 你的POST数据，保持原有的正确内容即可
  })

  # 覆盖Provider的headers，使用刚获取的最新令牌
  headers = {
    Authorization = "Bearer ${data.local_file.latest_token.content}"
    Content-Type  = "application/json"
    if-Match      = "*"
  }

  depends_on = [data.local_file.latest_token]
}

方案2：使用external数据源获取令牌 #

这种方式更简洁，通过external数据源在应用阶段直接调用命令获取令牌，无需本地文件：

# 在应用阶段获取最新IAM令牌，依赖前置资源
data "external" "ibm_iam_token" {
  program = [
    "bash", "-c", 
    "ibmcloud iam oauth-tokens --output json | jq -n '{token: .iam_token}'"
  ]

  # 依赖所有需要先创建的资源
  depends_on = [
    # ibm_resource_instance.your_resource,
  ]
}

# 配置restapi Provider，不包含Authorization头
provider "restapi" {
  uri                   = "https://your-target-api-endpoint"
  write_returns_object = true
  headers = {
    Content-Type  = "application/json"
    if-Match      = "*"
  }
}

# restapi资源使用最新令牌
resource "restapi_object" "your_api_call" {
  path = "/your-api-path"
  data = jsonencode({
    # 你的POST数据
  })

  headers = {
    Authorization = "Bearer ${data.external.ibm_iam_token.result.token}"
    Content-Type  = "application/json"
    if-Match      = "*"
  }

  depends_on = [data.external.ibm_iam_token]
}

注意事项 #

• 确保你的环境中已经安装了ibmcloud CLI和jq工具（用于解析JSON输出）。
• 如果你的restapi调用不止一个，记得每个调用都要依赖令牌获取的资源，确保每次调用都使用最新令牌。
• 如果你的资源创建流程特别长（超过1小时），可以考虑将令牌获取逻辑拆分到每个restapi资源的前置步骤中，避免令牌在等待过程中过期。

内容的提问来源于stack exchange，提问作者disp_name