本地引用GitLab存储的Terraform远程状态失败求助

核心原因 #

本地执行terraform plan时，访问ID1项目的Terraform远程状态端点未提供认证信息，而GitLab CI环境中已配置了有权限的GITLAB_ACCESS_TOKEN，因此能正常访问。

具体解决步骤 #

1. 给远程状态数据源添加认证配置 #

修改data "terraform_remote_state" "vpc"块，加入GitLab认证所需的固定用户名和Access Token，用变量传递避免硬编码：

data "terraform_remote_state" "vpc" {
  backend = "http"
  config = {
    address  = "https://gitlab.com/api/v4/projects/<ID 1>/terraform/state/${var.env}"
    username = "oauth2"  # GitLab固定用户名，配合Access Token使用
    password = var.gitlab_access_token
  }
}

在变量定义文件（如variables.tf）中添加对应变量：

variable "gitlab_access_token" {
  type        = string
  sensitive   = true
  description = "GitLab Access Token with permission to read state of project ID1"
}

本地执行时，通过环境变量传递token：

export TF_VAR_gitlab_access_token="你的GitLab Access Token"
terraform plan

也可以在terraform.tfvars中添加（注意不要将此文件提交到版本控制）：

gitlab_access_token = "你的GitLab Access Token"

2. 确保Access Token权限足够 #

你的GitLab Access Token需要满足以下权限要求：

• 个人token：开启read_repository权限，且你有权限访问ID1项目
• 项目级token：为ID1项目创建，开启terraform_state_read权限

3. 无需修改本地初始化命令 #

本地的terraform init是针对当前EKS项目（ID2）的后端配置，和引用ID1的远程状态无关，保持原有初始化命令即可。

内容的提问来源于stack exchange，提问作者Ed Danileyko