GitLab CI流水线终止后Terraform状态锁无法解除的解决方案咨询

1. 确认状态存储后端类型 #

先明确你的Terraform使用的是本地状态还是远程状态（如AWS S3、GitLab托管Terraform状态）：

• 查看terraform/${ENV}/backend.tf或main.tf中的后端配置：
  • S3后端示例：

    terraform {
      backend "s3" {
        bucket = "your-state-bucket"
        key    = "terraform.tfstate"
        region = "us-east-1"
      }
    }
    

  • GitLab托管状态示例：

    terraform {
      backend "http" {
        address = "https://gitlab.example.com/api/v4/projects/123/terraform/state/${ENV}"
        lock_address = "https://gitlab.example.com/api/v4/projects/123/terraform/state/${ENV}/lock"
        unlock_address = "https://gitlab.example.com/api/v4/projects/123/terraform/state/${ENV}/lock"
        username = "gitlab-ci-token"
        password = "${CI_JOB_TOKEN}"
      }
    }
    

2. 修正远程状态解锁命令 #

你的force-unlock命令未指定工作目录，导致Terraform默认查找本地状态，因此报错。修改命令，指定对应环境的工作目录：

before_script:
  - terraform --version
  - echo "Environment is ${ENV}"
  - aws configure set default.region $DEFAULT_REGION
  - terraform -chdir=terraform/${ENV} init
  # 指定工作目录，让Terraform使用远程后端配置执行解锁
  - terraform -chdir=terraform/${ENV} force-unlock -force 6cf0e31a-a1f6-636a-9cb0-fec966d9e924

3. 通过GitLab UI直接解锁（GitLab托管状态场景） #

如果使用GitLab托管状态，无需命令行操作：

• 进入项目的 Operations > Terraform > States
• 找到对应环境的状态项，点击右侧的 Unlock 按钮确认解锁

4. 本地状态锁的处理（概率极低） #

若确为本地状态锁，锁文件存于terraform/${ENV}/.terraform/terraform.tfstate.lock.info，直接删除即可：

before_script:
  # ... 其他命令
  - rm -f terraform/${ENV}/.terraform/terraform.tfstate.lock.info

注：GitLab流水线每次运行都是全新的Runner环境，本地锁文件不会跨流水线保留，此场景少见。

5. 验证锁ID正确性 #

错误的锁ID也会导致解锁失败，可通过以下方式确认正确锁ID：

• GitLab托管状态：在状态页面查看当前锁的ID及锁定者信息
• S3后端：用AWS CLI查询锁配置：

  aws s3api get-object-lock-configuration --bucket your-state-bucket --key terraform.tfstate
  

内容的提问来源于stack exchange，提问作者Gi Yeon Shin