为何terraform apply未执行？客户端JS触发服务端VM创建故障排查

核心问题 #

从systemd日志可见terraform init执行成功，但完全没有terraform apply的执行痕迹，目标目录也未生成Terraform状态文件（如terraform.tfstate）或其他apply相关产物。

排查方向及解决方法 #

1. 日志输出不完整，错误信息被遗漏 #

当前服务端代码仅打印了命令执行的stdout，但terraform apply的错误信息通常会输出到stderr，这部分内容完全没被记录到systemd日志中，导致无法定位失败原因。

修复方式：修改服务端代码，同时打印stdout和stderr：

exec(cmd, (err, stdout, stderr) => {
  if (err) {
    console.error('执行错误:', err);
    console.error('错误输出:', stderr);
    res.status(500).send('Error creating VM');
    return;
  }
  console.log('标准输出:', stdout);
  if (stderr) {
    console.log('标准错误输出:', stderr); // 捕获Terraform的警告或非致命错误
  }
  res.send('VM created successfully');
});

2. 权限不足导致执行失败 #

（1）Libvirt访问权限

Terraform的libvirt provider连接qemu:///system需要运行用户具备相应权限：

• 确认systemd服务的运行用户（查看服务文件的User=字段）是否在libvirt用户组中：

  sudo usermod -aG libvirt [服务运行用户名]
  sudo systemctl restart [服务名].service
  

（2）无交互sudo权限

Shell脚本中大量使用sudo命令，但systemd环境无交互，会导致sudo因需要密码而失败，进而终止terraform apply流程：

• 给服务运行用户配置指定命令的无密码sudo权限，编辑/etc/sudoers.d/[用户名]：

  [用户名] ALL=(ALL) NOPASSWD: /usr/bin/apt-get, /usr/bin/virt-install, /bin/bash
  

  注意：生产环境需严格限制允许的命令，避免过度授权。

3. 命令变量替换存在潜在风险 #

当前命令中的变量未用引号包裹，若参数包含特殊字符（如空格）会导致命令语法错误，即使当前参数正常，也建议规范写法：

terraform apply -no-color -var vm_name="${name}" -var vm_cores="${cores}" -var vm_memory="${memory}" -var vm_disk_size="${disk_size}" -auto-approve -v -log-level=debug

4. 手动验证命令可行性 #

切换到systemd服务运行的用户，手动执行完整命令，直接观察执行过程中的错误：

su - [服务运行用户名]
cd /home/presto/vm_scripts && terraform init -upgrade && terraform apply -no-color -var vm_name=My_first_VM -var vm_cores=4 -var vm_memory=4096 -var vm_disk_size=80G -auto-approve -v -log-level=debug

总结 #

最可能的根源是权限不足或错误信息未被捕获，优先修改代码打印stderr，再通过手动执行命令验证权限问题，即可快速定位故障点。

内容的提问来源于stack exchange，提问作者Ant