Terraform数据源在ADO发布流水线中执行失败求助

问题根源 #

你遇到的循环依赖是核心逻辑冲突：Terraform数据源的执行必须依赖已初始化完成的Provider，但你当前用Key Vault数据源的输出值去配置Provider的client_secret，形成了「Provider等待数据源结果→数据源等待Provider初始化」的死循环。

本地环境能正常运行是因为本地存在Azure认证缓存（比如az login的会话），Terraform自动复用了缓存的身份绕过了Provider配置的依赖；而ADO流水线是干净环境，没有缓存，所以循环依赖问题直接暴露。

可行解决方案 #

方案1：利用ADO流水线的密钥保管库任务直接注入变量 #

既然你的流水线已经包含「访问密钥保管库」步骤，直接把目标secret导出为流水线变量，无需通过Terraform数据源获取：

1. 在ADO密钥保管库任务中，配置「下载机密」，将clientsecret映射为流水线变量（例如AZURE_CLIENT_SECRET）；
2. 在Terraform的variables.tf中声明变量：

   variable "client_secret" {
     type        = string
     description = "Azure service principal client secret"
   }
   

3. 在流水线的Terraform Plan/Apply步骤中，通过命令行参数传入变量：

   terraform plan -var client_secret=$(AZURE_CLIENT_SECRET) -var-file=xxx.tfvars
   

4. 修改Provider配置，直接引用变量：

   provider "azurerm" {
     subscription_id = var.subscription_id
     tenant_id       = "xyz"
     client_id       = var.provision_client_id
     client_secret   = var.client_secret
   }
   

方案2：使用Azure Provider内置的Key Vault密钥读取功能（推荐） #

Terraform Azure Provider支持直接从Key Vault读取client_secret，无需额外数据源，从根源避免循环依赖：

provider "azurerm" {
  subscription_id = var.subscription_id
  tenant_id       = "xyz"
  client_id       = var.provision_client_id

  # 直接指定从Key Vault获取client_secret
  client_secret {
    key_vault_id = "/subscriptions/xxx/resourceGroups/xxx/providers/Microsoft.KeyVault/vaults/xxx"
    name         = var.clientsecret
  }
}

• 这里的key_vault_id可以直接写死在tfvars或作为变量传入（Key Vault是预先存在的资源，ID不会变化）；
• 确保当前使用的服务主体（provision_client_id）拥有该Key Vault的secrets/get和secrets/list权限。

方案3：分离Provider实例，拆分认证逻辑 #

创建两个Provider实例：一个用于访问Key Vault获取密钥，另一个用获取到的密钥部署资源：

# 第一个Provider：仅用于访问Key Vault，用流水线提供的基础认证
provider "azurerm" {
  alias           = "kv_access"
  subscription_id = var.subscription_id
  tenant_id       = "xyz"
  client_id       = var.provision_client_id
  # 这里用ADO流水线注入的临时认证（比如托管身份或专用SP密钥）
  client_secret   = var.temp_kv_access_secret
}

# 用第一个Provider查询Key Vault和密钥
data "azurerm_key_vault" "keyvault" {
  provider            = azurerm.kv_access
  name                = var.kvname
  resource_group_name = var.region
}

data "azurerm_key_vault_secret" "clientsecret" {
  provider     = azurerm.kv_access
  name         = var.clientsecret
  key_vault_id = data.azurerm_key_vault.keyvault.id
}

# 第二个Provider：用于部署资源，使用获取到的密钥
provider "azurerm" {
  subscription_id = var.subscription_id
  tenant_id       = "xyz"
  client_id       = var.provision_client_id
  client_secret   = data.azurerm_key_vault_secret.clientsecret.value
}

• var.temp_kv_access_secret可以通过ADO流水线的密钥保管库任务注入，或者直接使用ADO流水线的系统托管身份（启用后Provider会自动认证，无需配置client_id和client_secret）。

内容的提问来源于stack exchange，提问作者Patrick Lane