Gitlab CI中如何通过环境变量传递Terraform嵌套Map的敏感属性

问题背景 #

现有如下Terraform变量定义，其中spokes为映射对象类型，包含敏感字段gitlab_runner_token：

variable "spokes" {
  description = "(Required) Map for target spokes and their respective attributes."
  type = map(object({
    name                   = string
    environment            = string
    law_id                 = string
    vm_subnet_id           = string
    vm_size                = string
    gitlab_runner_token    = string
    secure_subnet_id       = string
    privatelink_vault_zone = string
    custom_tags            = map(string)
  }))
}

需要在GitLab CI/CD中单独传递该敏感字段，禁止将令牌存入仓库静态文件，且避免维护全量变量文件。

可行方案 #

方案1：拆分敏感字段为独立变量（推荐） #

将gitlab_runner_token从spokes的对象结构中剥离，转为独立的映射变量，既符合敏感数据隔离的最佳实践，又简化环境变量传递：

1. 修改Terraform变量定义

variable "spokes" {
  description = "(Required) Map for target spokes and their respective non-sensitive attributes."
  type = map(object({
    name                   = string
    environment            = string
    law_id                 = string
    vm_subnet_id           = string
    vm_size                = string
    secure_subnet_id       = string
    privatelink_vault_zone = string
    custom_tags            = map(string)
  }))
}

variable "gitlab_runner_tokens" {
  description = "(Required) Map of GitLab runner tokens per spoke."
  type        = map(string)
  sensitive   = true # 标记为敏感，避免Terraform日志明文输出
}

2. GitLab CI/CD变量配置
   在项目的Settings -> CI/CD -> Variables中添加：

• 变量名：TF_VAR_gitlab_runner_tokens_spokename1
• 变量值：你的GitLab Runner令牌
• 勾选Masked和Protected，防止令牌在CI日志中泄露

3. Terraform代码中引用
   在资源定义中合并两个变量的内容：

resource "gitlab_runner" "spoke_runner" {
  for_each = var.spokes

  token     = var.gitlab_runner_tokens[each.key]
  tag_list  = values(each.value.custom_tags)
  # 其他属性直接从var.spokes[each.key]读取
}

方案2：动态生成临时敏感变量文件（不修改原有变量结构） #

如果无法调整现有变量结构，可在CI/CD流程中动态生成仅包含敏感字段的临时变量文件，避免仓库存储敏感数据：

1. GitLab CI/CD变量配置
   添加独立的令牌变量：

• 变量名：SPOKE1_GITLAB_TOKEN
• 变量值：你的GitLab Runner令牌
• 勾选Masked和Protected

2. CI Job脚本中生成临时文件
   在执行Terraform命令前，动态生成临时变量文件：

# 生成仅包含敏感字段的临时变量文件
cat > sensitive-spokes.tfvars << EOF
spokes = {
  spokename1 = {
    gitlab_runner_token = "$SPOKE1_GITLAB_TOKEN"
  }
}
EOF

# 执行Terraform时同时加载非敏感变量文件和临时敏感文件
terraform plan -var-file=non-sensitive-spokes.tfvars -var-file=sensitive-spokes.tfvars

• non-sensitive-spokes.tfvars为仓库中存储的非敏感属性文件（包含spokes的其他字段）
• 临时生成的sensitive-spokes.tfvars仅在CI Job运行时存在，不会被提交到仓库
• Terraform会自动合并多个-var-file中的变量值，敏感字段会覆盖非敏感文件中的对应值（若存在）

为什么直接用TF_VAR_spokes["spokename1"].gitlab_runner_token不行 #

Shell环境变量名不允许包含["、]、.这类特殊字符，因此该写法无法被终端或CI环境识别。Terraform的TF_VAR_*环境变量仅支持简单类型的直接赋值，复杂嵌套结构无法通过单环境变量拆分传递。

内容的提问来源于stack exchange，提问作者falken