如何在Azure DevOps不同项目间引用Terraform模块

针对同一组织内project2引用project1中repo1的Terraform模块场景，有两种常用配置方案，具体如下：

方案一：直接通过Git仓库URL引用模块 #

这种方式无需额外拉取仓库，Terraform会直接从指定Git路径拉取模块。

1. 配置权限
   确保project2的流水线具备访问project1 repo1的读取权限：

• 进入组织设置->权限->仓库权限，给project2的流水线服务主体（或个人访问令牌PAT）添加repo1的读取权限；
• 若使用System.AccessToken，需在project1的仓库设置中，允许来自其他项目的流水线访问。

2. 编写Terraform模块引用
   在project2的Terraform配置文件（如main.tf）中，用Git源语法指定模块路径：

module "example_module" {
  source = "git::https://dev.azure.com/[你的组织名]/project1/_git/repo1//iac/terraform-modules/[具体模块子目录]?ref=main"
  
  # 按需传递模块所需变量
  environment = "production"
  instance_count = 2
}

• 路径中的//用于分隔仓库URL和模块在仓库内的相对路径；
• ref参数指定分支、标签或提交哈希，建议用标签锁定版本（如ref=v1.0.0），避免上游变更引发意外。

3. 流水线中配置Terraform初始化
   在YAML流水线的Terraform初始化步骤中，注入Git凭据以访问project1的仓库：

steps:
- task: TerraformCLI@0
  inputs:
    command: 'init'
    workingDirectory: '$(System.DefaultWorkingDirectory)/terraform'
  env:
    GIT_USERNAME: 'azuredevops'
    GIT_PASSWORD: '$(System.AccessToken)'

• 若使用自定义PAT，将$(System.AccessToken)替换为你在流水线中定义的秘密PAT变量即可。

方案二：拉取上游仓库到本地后引用 #

这种方式先将project1的repo1拉取到流水线工作目录，再通过本地路径引用模块。

1. 流水线中添加仓库拉取步骤
   在project2的YAML流水线中，先拉取自身代码，再拉取project1的repo1到指定目录：

steps:
- checkout: self  # 拉取project2的代码到默认目录
- checkout: git://[你的组织名]/project1/repo1@main
  path: 'terraform-modules'  # 将repo1拉取到terraform-modules目录

• path参数可自定义，确保后续Terraform配置能正确找到模块路径。

2. 编写本地模块引用
   在project2的Terraform配置文件中，使用相对路径引用本地模块：

module "example_module" {
  source = "../terraform-modules/iac/terraform-modules/[具体模块子目录]"
  
  # 传递模块变量
  environment = "production"
  instance_count = 2
}

• 相对路径需根据流水线中拉取的目录结构调整，确保指向正确的模块位置。

3. 执行Terraform流程
   后续的terraform init和apply步骤无需额外配置，直接执行即可，因为模块已在本地路径。

注意事项 #

• 权限验证：无论哪种方案，都要先测试流水线能否正常访问project1的repo1，避免因权限不足导致初始化失败；
• 版本锁定：生产环境建议使用标签或固定提交哈希引用模块，确保部署的稳定性；
• 秘密变量管理：若使用PAT，务必将其标记为秘密变量，防止凭据泄露。

内容的提问来源于stack exchange，提问作者akshay vithalkar