Terraform FortiOS Provider凭据动态配置：规避Git存储风险的方案

你完全可以通过环境变量、Terraform变量等方式动态传递凭据，避免硬编码泄露，以下是最实用的几种方案：

1. 直接用Provider原生环境变量（最简单） #

FortiOS Terraform Provider官方支持读取特定环境变量，不需要在代码里写任何敏感信息。对应的环境变量名是：

• FORTIOS_HOSTNAME：对应Provider的hostname参数
• FORTIOS_TOKEN：对应Provider的token参数
• FORTIOS_INSECURE：对应insecure参数（可选，值为true或false）

修改后的Provider配置可以简化成这样：

terraform {
  required_providers {
    fortios = {
        source = "fortinetdev/fortios"
    }
  }
}

provider "fortios" {
  insecure = true # 根据你的实际需求保留或删除
}

设置环境变量的方式：

• Linux/macOS终端：

  export FORTIOS_HOSTNAME="你的FortiGate地址"
  export FORTIOS_TOKEN="你的API令牌"
  

• Windows PowerShell：

  $env:FORTIOS_HOSTNAME = "你的FortiGate地址"
  $env:FORTIOS_TOKEN = "你的API令牌"
  

2. 用Terraform变量配合环境变量（更灵活） #

如果需要在代码里明确声明所需参数（方便团队协作），可以定义变量并让Terraform自动读取带TF_VAR_前缀的环境变量：

首先创建variables.tf文件：

variable "fortios_hostname" {
  type        = string
  description = "FortiGate的主机名或IP地址"
}

variable "fortios_token" {
  type        = string
  description = "FortiGate的API访问令牌"
  sensitive   = true # 标记为敏感变量，防止在日志或输出中泄露
}

然后修改Provider块引用变量：

terraform {
  required_providers {
    fortios = {
        source = "fortinetdev/fortios"
    }
  }
}

provider "fortios" {
  hostname = var.fortios_hostname
  token    = var.fortios_token
  insecure = true
}

设置环境变量时加上TF_VAR_前缀：

• Linux/macOS：

  export TF_VAR_fortios_hostname="你的FortiGate地址"
  export TF_VAR_fortios_token="你的API令牌"
  

• Windows PowerShell：

  $env:TF_VAR_fortios_hostname = "你的FortiGate地址"
  $env:TF_VAR_fortios_token = "你的API令牌"
  

3. 本地凭据文件（适合单环境本地开发） #

可以创建terraform.tfvars文件存储敏感信息，但务必将这个文件加入.gitignore，绝对不能提交到Git仓库：

terraform.tfvars内容：

fortios_hostname = "你的FortiGate地址"
fortios_token    = "你的API令牌"

.gitignore添加以下内容：

terraform.tfvars
*.tfvars
.terraform/
terraform.tfstate*

这种方式下，Terraform会自动读取terraform.tfvars里的变量值，不需要额外设置环境变量。

补充说明 #

你之前认为“Terraform优先解析Provider配置，无法使用变量”是误解——Provider配置完全支持引用Terraform变量，只要变量被正确定义和传递，环境变量或本地文件都是合法的传递方式，比硬编码安全得多。

内容的提问来源于stack exchange，提问作者AndyB