Terraform初始化报错：Backend块内不允许调用函数

问题场景 #

你的main.tf配置如下：

provider "google" {
    credentials = file("terraform-371117-9d27713c1607.json")

    project = "terraform-371117"
    region = "asia-south1"
    zone = "asia-south1-c"
}

resource "google_compute_network" "VPC" {
    name = "practice-network"
    auto_create_subnetworks = true
  
}
terraform {
  backend "gcs" {
    bucket = "tf-state-devv"
    prefix = "Terraform/State"
    credentials = file("terraform-371117-9d27713c1607.json")
  }
}

执行terraform init时出现错误：

Initializing the backend...
╷
│ Error: Function calls not allowed
│
│   on main.tf line 18, in terraform:
│   18:     credentials = file("terraform-371117-9d27713c1607.json")
│
│ Functions may not be called here.

问题原因 #

Terraform的backend配置块属于初始化阶段的核心配置，这一阶段Terraform还未完成配置解析，因此不允许使用函数调用（比如file()）。

解决方法 #

方法1：使用环境变量（推荐） #

通过设置GOOGLE_APPLICATION_CREDENTIALS环境变量让Terraform自动读取服务账号密钥，无需在backend块中配置credentials：

• Linux/macOS终端：

  export GOOGLE_APPLICATION_CREDENTIALS="/path/to/terraform-371117-9d27713c1607.json"
  

• Windows命令提示符：

  set GOOGLE_APPLICATION_CREDENTIALS=C:\path\to\terraform-371117-9d27713c1607.json
  

修改main.tf的backend块，删除credentials行：

terraform {
  backend "gcs" {
    bucket = "tf-state-devv"
    prefix = "Terraform/State"
  }
}

重新执行terraform init即可。

方法2：直接写入密钥内容（不推荐） #

将服务账号密钥的JSON内容直接粘贴到credentials字段中，但此方式会将敏感信息明文暴露在配置文件内，仅适合测试环境：

terraform {
  backend "gcs" {
    bucket = "tf-state-devv"
    prefix = "Terraform/State"
    credentials = <<EOF
    {
      "type": "service_account",
      "project_id": "terraform-371117",
      // 粘贴完整的密钥JSON内容
    }
    EOF
  }
}

内容的提问来源于stack exchange，提问作者Lloyd Zedds