Pulumi新手求助：登录GCP后端提示需设置密码短语的问题

核心原因 #

登录Pulumi的GCP后端时，Pulumi需要加密/解密配置中的敏感数据，这必须依赖密码短语（passphrase）。而执行pulumi logout后自动化部署正常，是因为此时使用的是无状态临时会话或默认非加密存储（不推荐用于生产环境）。

具体解决步骤 #

1. 修正环境变量的大小写 #

环境变量是大小写敏感的，你需要设置大写的PULUMI_CONFIG_PASSPHRASE，而非小写的pulumi_config_passphrase：

• Linux/macOS终端临时设置：

  export PULUMI_CONFIG_PASSPHRASE="你的自定义密码短语"
  pulumi login gcp://你的GCP项目ID
  

  若要永久生效，将export命令添加到~/.bashrc（bash）或~/.zshrc（zsh）文件，再执行source ~/.bashrc加载配置。
• Windows PowerShell中设置：

  $env:PULUMI_CONFIG_PASSPHRASE="你的自定义密码短语"
  pulumi login gcp://你的GCP项目ID
  

2. 使用密码短语文件（更安全） #

不想在终端明文输入密码的话，可创建密码短语文件并通过环境变量指定：

• 创建文件（例如~/.pulumi-passphrase），写入密码短语后设置权限避免他人读取：

  chmod 600 ~/.pulumi-passphrase
  

• 设置环境变量并登录：

  export PULUMI_CONFIG_PASSPHRASE_FILE=~/.pulumi-passphrase
  pulumi login gcp://你的GCP项目ID
  

3. 确认后端状态与权限 #

登录前可检查当前Pulumi后端状态：

pulumi whoami

若显示未登录，再执行登录命令。同时确保你的GCP账号拥有对应后端存储（如GCS桶）的读写权限。

4. 自动化部署的密码处理 #

CI/CD流水线中需注入正确的环境变量，以GitHub Actions为例：

- name: 设置Pulumi密码短语
  run: echo "PULUMI_CONFIG_PASSPHRASE=${{ secrets.PULUMI_PASSPHRASE }}" >> $GITHUB_ENV
- name: Pulumi登录GCP后端
  run: pulumi login gcp://你的GCP项目ID

注意事项 #

• 密码短语一旦设置，后续操作该后端必须使用相同的短语，请勿随意更改。
• 生产环境务必使用密码短语文件或安全的环境变量管理方式，避免明文泄露。

内容的提问来源于stack exchange，提问作者Malasartes