如何将Terraform输出值作为Azure DevOps Pipeline变量并解决无输出警告

1. 先确认Terraform Output块本身没问题 #

先在本地环境执行terraform apply，接着运行terraform output，确认能看到appid_tfazsp、pass_tfazsp的输出值。如果本地都看不到，先排查Output块的语法和引用：

# 示例正确的Output块写法，敏感值必须加sensitive = true
output "appid_tfazsp" {
  value       = azurerm_service_principal.your_sp.application_id
  description = "Service Principal的应用ID"
  sensitive   = true
}

output "pass_tfazsp" {
  value       = azurerm_service_principal_password.your_sp_pass.value
  description = "Service Principal的密码"
  sensitive   = true
}

注意：如果引用的资源不存在、变量名拼写错误，或者Output块所在的.tf文件没被Terraform加载（比如文件名不符合.tf后缀），都会导致无输出。

2. 配置Azure DevOps Terraform任务捕获输出 #

如果用官方的TerraformCLI@0任务，必须开启捕获输出的配置：

- task: TerraformCLI@0
  displayName: 'Terraform Apply'
  inputs:
    command: 'apply'
    workingDirectory: '$(System.DefaultWorkingDirectory)/terraform' # 确保和init/plan任务的工作目录一致
    environmentServiceName: '你的Azure服务连接名'
    captureTerraformOutputs: true # 关键：开启自动捕获输出为Pipeline变量

开启后，Terraform的输出会自动转为Pipeline变量，后续步骤直接用$(appid_tfazsp)、$(pass_tfazsp)引用即可。

如果用自定义脚本执行Terraform，需要手动解析输出并设置变量：

Bash脚本示例 #

# 先导出JSON格式的输出
terraform output -json > tf-outputs.json

# 解析并设置Pipeline变量，敏感值要加issecret=true
APPID=$(cat tf-outputs.json | jq -r '.appid_tfazsp.value')
echo "##vso[task.setvariable variable=appid_tfazsp;issecret=true]$APPID"

PASS=$(cat tf-outputs.json | jq -r '.pass_tfazsp.value')
echo "##vso[task.setvariable variable=pass_tfazsp;issecret=true]$PASS"

PowerShell脚本示例 #

$tfOutput = Get-Content -Path tf-outputs.json | ConvertFrom-Json

# 设置敏感变量
Write-Host "##vso[task.setvariable variable=appid_tfazsp;issecret=true]$($tfOutput.appid_tfazsp.value)"
Write-Host "##vso[task.setvariable variable=pass_tfazsp;issecret=true]$($tfOutput.pass_tfazsp.value)"

3. 检查工作目录与状态文件一致性 #

所有Terraform任务（init、plan、apply、output）必须使用相同的工作目录，否则后续任务读取的状态文件不是apply后的版本，会出现「No outputs found」。

如果使用远程状态（比如Azure Blob存储），确保terraform init任务正确配置了后端，能读取到最新的状态文件。可以在Pipeline中加一个步骤执行terraform state list，确认状态文件包含对应的资源。

4. 敏感输出的注意事项 #

如果Output块设置了sensitive = true，Azure DevOps会隐藏变量值，日志里看不到不等于没捕获到，后续任务直接引用变量即可。手动设置变量时，必须加上;issecret=true，避免敏感值泄露。

5. 快速排查步骤 #

• 在Pipeline中添加一个调试步骤，执行terraform output或terraform output -json，查看日志输出。如果这一步也显示无输出，说明Terraform状态文件里确实没有输出，回到第一步检查Output块和apply过程。
• 确认Pipeline使用的Terraform版本和本地测试版本一致，避免版本兼容性问题导致输出不生成。

内容的提问来源于stack exchange，提问作者HSar