GitLab CI/CD部署Terraform时依赖锁文件不一致及资源重复创建问题

一、Build阶段重复创建资源问题 #

核心原因 #

• CI流水线每次运行都是全新隔离环境，默认使用本地状态文件，未与本地共享同一远程状态，导致Terraform判定无现有资源，进而重复创建。
• 本地与CI环境的Terraform变量、AWS配置（如区域、凭证）不一致，引发资源配置计算差异。
• 未正确初始化Terraform后端，状态文件未持久化存储。

解决方案 #

1. 配置远程状态存储
   使用AWS S3作为Terraform后端，确保本地和CI共享同一状态文件。在Terraform配置文件中添加：

   terraform {
     backend "s3" {
       bucket = "your-unique-tf-state-bucket"
       key    = "aws/services/terraform.tfstate"
       region = "us-east-1" # 替换为你的AWS区域
     }
   }
   

   确保CI环境的AWS凭证有权限访问该S3桶。

2. 同步环境变量与配置

   • 在GitLab项目的Settings > CI/CD > Variables中配置与本地一致的变量，如AWS_REGION、自定义Terraform变量。
   • 确保CI使用的AWS凭证与本地拥有相同的资源操作权限。

3. 在CI中正确初始化后端
   在流水线的init阶段执行terraform init，确保加载远程后端配置：

   init:
     stage: init
     image: hashicorp/terraform:1.5.0 # 指定与本地一致的版本
     script:
       - terraform init
     artifacts:
       paths:
         - .terraform/
         - .terraform.lock.hcl
       expire_in: 1d
   

二、Deploy阶段“Error: Inconsistent dependency lock file”问题 #

核心原因 #

• 本地与CI使用的Terraform版本不一致，锁文件.terraform.lock.hcl基于本地版本生成，CI用不同版本解析时出现兼容性问题。
• 锁文件未提交至Git仓库，或提交后被修改，CI拉取的代码中锁文件缺失或与本地不符。
• CI执行terraform init时使用了-upgrade选项，强制更新依赖导致锁文件变更，但未同步回仓库。

解决方案 #

1. 统一Terraform版本

   • 本地安装与CI流水线指定版本完全一致的Terraform，比如在.gitlab-ci.yml中使用固定版本镜像：

     image: hashicorp/terraform:1.5.0
     

   • 可通过terraform version命令确认本地版本，确保与CI版本匹配。

2. 提交锁文件至仓库
   将本地生成的.terraform.lock.hcl文件添加到Git仓库并提交，确保CI拉取的代码包含正确的锁文件：

   git add .terraform.lock.hcl
   git commit -m "Add terraform lock file"
   git push
   

3. 规范CI中的init命令

   • 避免在CI的terraform init中使用-upgrade选项，防止自动更新依赖导致锁文件不一致。
   • 若需要更新依赖，先在本地执行terraform init -upgrade，更新锁文件后重新提交至仓库，再触发CI流水线。

完整.gitlab-ci.yml示例 #

stages:
  - init
  - plan
  - deploy

init:
  stage: init
  image: hashicorp/terraform:1.5.0
  script:
    - terraform init
  artifacts:
    paths:
      - .terraform/
      - .terraform.lock.hcl
    expire_in: 1d

plan:
  stage: plan
  image: hashicorp/terraform:1.5.0
  dependencies:
    - init
  script:
    - terraform plan -out=tfplan
  artifacts:
    paths:
      - tfplan
    expire_in: 1d

deploy:
  stage: deploy
  image: hashicorp/terraform:1.5.0
  dependencies:
    - plan
  script:
    - terraform apply tfplan
  only:
    - main # 仅在主分支触发部署

内容的提问来源于stack exchange，提问作者Bilal Yousaf