Terraform暂不支持Azure DevOps环境审批检查，最优实现方案是什么？

由于Terraform官方azuredevops provider暂不支持直接创建环境审批检查，目前最优的实现方式是通过API调用+Terraform资源编排的组合方案，以下是具体落地方式：

方案一：使用null_resource + local-exec调用Azure DevOps REST API #

这是最直接的实现方式，利用Terraform的null_resource触发本地执行命令，调用Azure DevOps的环境审批检查API完成配置。

步骤示例： #

1. 先用Terraform创建Azure DevOps环境

resource "azuredevops_environment" "prod" {
  project_id = azuredevops_project.main.id
  name       = "Production"
}

2. 添加null_resource，通过local-exec调用API添加审批检查

resource "null_resource" "env_approval_check" {
  depends_on = [azuredevops_environment.prod]

  provisioner "local-exec" {
    environment = {
      PAT = var.azure_devops_pat
      ORG_URL = var.azure_devops_org_url
      PROJECT_ID = azuredevops_project.main.id
      ENV_ID = azuredevops_environment.prod.id
    }

    # 使用PowerShell调用REST API（也可替换为curl/bash命令）
    command = <<EOT
      $headers = @{
        Authorization = "Basic $([System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes("`:$env:PAT")))"
        "Content-Type" = "application/json"
      }
      $body = @{
        type = "approval"
        settings = @{
          approvers = @(
            @{
              displayName = "DevOps Team"
              id = "xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" # 审批组/用户ID
              isRequired = true
            }
          )
          executionOrder = "beforeGates"
          notificationType = "all"
        }
      } | ConvertTo-Json -Depth 3

      Invoke-RestMethod -Uri "$env:ORG_URL/$env:PROJECT_ID/_apis/pipelines/environments/$env:ENV_ID/checks?api-version=7.1-preview.1" -Method Post -Headers $headers -Body $body
    EOT
  }
}

关键注意事项： #

• 依赖控制：通过depends_on确保环境创建完成后再执行API调用
• 幂等性处理：可以在API调用前先检查该环境是否已存在审批检查，避免重复创建（可通过GET请求查询后判断）
• 权限配置：用于调用API的PAT需要拥有**环境管理（Environment Manage）**权限

方案二：封装社区Terraform模块 #

如果团队需要多次复用该逻辑，可以将上述API调用逻辑封装为Terraform社区模块，统一管理审批检查的创建、更新和删除逻辑，避免重复编写local-exec代码。

示例模块调用方式：

module "env_approval" {
  source = "./modules/azuredevops-env-approval"

  org_url       = var.azure_devops_org_url
  project_id    = azuredevops_project.main.id
  env_id        = azuredevops_environment.prod.id
  pat           = var.azure_devops_pat
  approvers     = ["xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"] # 审批用户/组ID列表
}

方案三：结合Azure DevOps Pipeline做后续维护 #

如果需要在Terraform部署后动态调整审批规则，可以在Azure DevOps Pipeline中添加专用步骤，调用API同步审批配置，确保Terraform状态与实际环境配置一致。

内容的提问来源于stack exchange，提问作者Adam