如何使用单个Terraform配置文件管理多环境Terraform Cloud工作区？

错误原因分析 #

你当前的配置存在冲突：cloud块中使用tags = ["dev","prod"]的工作区匹配规则，同时又通过TF_WORKSPACE环境变量指定了具体工作区名称。Terraform会尝试寻找同时符合标签条件且名称完全匹配的工作区，这与你的实际设置不符，因此报错“无法找到匹配指定标签的工作区”。

正确实现方案 #

以下两种方案均可实现单配置适配不同Azure订阅、不同凭据的DEV/PROD环境，按需选择：

方案一：工作区名称前缀匹配（推荐，适合自动化场景） #

修改cloud块的工作区配置，改用前缀匹配规则，让Terraform自动识别对应环境的工作区：

terraform {
  cloud {
    organization = "你的组织名称"
    workspaces {
      # 匹配以该前缀开头的所有工作区
      prefix = "mycompany-infrastructure-"
    }
  }
}

• 当设置TF_WORKSPACE=mycompany-infrastructure-dev时，Terraform会自动匹配对应工作区，PROD环境同理设置为mycompany-infrastructure-prod
• 不同订阅/凭据处理：直接在Terraform Cloud的DEV、PROD工作区中分别配置Azure相关环境变量：ARM_SUBSCRIPTION_ID、ARM_TENANT_ID、ARM_CLIENT_ID、ARM_CLIENT_SECRET，每个工作区填入对应订阅的凭据信息。配置文件中无需硬编码这些内容，Terraform会自动读取工作区的环境变量。

方案二：保留标签匹配模式（适合手动操作场景） #

如果坚持使用标签匹配，需要调整操作流程：

1. 确认Terraform Cloud中DEV工作区已添加dev标签，PROD工作区已添加prod标签
2. 不要设置TF_WORKSPACE环境变量，执行terraform init后，Terraform会列出所有匹配标签的工作区，手动选择要使用的环境
3. 后续切换环境可使用命令：terraform workspace select mycompany-infrastructure-dev（或prod）

• 订阅/凭据的处理同方案一，在对应工作区设置专属环境变量即可

核心原则 #

单配置适配多环境的关键是：资源配置保持通用，环境差异完全通过Terraform Cloud工作区的环境变量、变量集来区分，无需修改主配置文件。

内容的提问来源于stack exchange，提问作者Simone