Azure DevOps中Terraform流水线无法引用SAS Token变量的问题

以下是针对你遇到的问题的具体排查方向：

• 确认变量声明的位置
  你提到在variables.tf中声明了sas_token，但要注意：如果是在module "vm_prd_test"这个子模块内部引用var.sas_token，必须在该子模块的目录下的variables.tf里声明这个变量，而不是根模块的variables.tf。子模块无法直接访问根模块的变量，必须通过模块调用时传递。

• 检查模块调用时的变量传递
  即使子模块已经声明了sas_token，根模块调用该子模块时必须显式传递变量值，否则子模块无法获取到该变量。示例代码如下：

  module "vm_prd_test" {
    source      = "./path/to/your/vm-module"
    # 必须添加这行传递变量
    sas_token   = var.sas_token
    # 其他模块所需参数...
  }
  

  如果缺少这行代码，子模块内部引用var.sas_token就会触发未声明错误。

• 验证TF_VAR环境变量的注入
  在Azure DevOps的Terraform Apply任务之前，添加一个命令行任务（根据代理系统选择Bash或PowerShell），执行以下命令确认变量是否正确注入：

  # Bash环境
  echo $TF_VAR_sas_token
  

  或者

  # PowerShell环境
  echo $env:TF_VAR_sas_token
  

  如果输出为空，说明变量组的引用或环境变量设置存在问题，需要检查流水线中变量组的作用域（是否在当前阶段/任务生效），以及TF_VAR_前缀后的变量名是否与variables.tf中的声明完全一致（Terraform变量名区分大小写）。

• 检查变量名拼写一致性
  逐一核对所有环节的变量名：

  • variables.tf中的变量声明是否为variable "sas_token" { ... }
  • 模块内部引用是否为var.sas_token（注意大小写、下划线是否一致）
  • Azure DevOps变量组中的变量名是否为sas_token
  • Terraform Apply任务中设置的环境变量是否为TF_VAR_sas_token
    任何一处拼写错误都会导致变量无法被识别。

• 确认Terraform初始化的正确性
  确保在Terraform Apply任务之前，已经正确执行了terraform init命令。如果vm_prd_test模块是远程托管的（如Azure DevOps Artifacts、GitHub仓库），需要确认init命令拉取到了最新的模块代码——如果子模块的variables.tf是新增或修改的，旧的模块代码会导致Terraform无法识别新变量。

• 复查变量组的授权配置
  虽然你已经授权流水线访问变量组，但需要确认：

  • 变量组的权限设置中，是否包含当前流水线所在的项目/团队，或者特定流水线的权限
  • 流水线使用的服务连接是否具备访问该变量组的权限
    有时候授权范围设置错误（比如只授权给了其他流水线），会导致变量无法被读取。

内容的提问来源于stack exchange，提问作者Vetements