Azure DevOps中Terraform Init执行报错问题求助

1. 变量引用格式错误 #

Azure DevOps流水线中引用变量组变量的正确格式是$(ARM_ACCESS_KEY)，而非#{ARM_ACCESS_KEY}#。后者属于旧版工具的引用规则，直接使用会导致Azure DevOps不进行变量值替换，Terraform拿到的是字面量#{ARM_ACCESS_KEY}#，无法通过Blob Storage认证。

2. tfvar变量未正确传递至Init阶段 #

即便在tfvar中定义了变量，也需确保流水线执行terraform init时：

• 通过-var-file参数指定该tfvar文件；
• 或把变量组的ARM_ACCESS_KEY注入为环境变量（Terraform默认识别环境变量ARM_ACCESS_KEY）；
• 也可在init命令中直接传递变量：terraform init -var "arm_access_key=$(ARM_ACCESS_KEY)"。

3. 变量组关联与权限问题 #

• 确认流水线已关联目标变量组：在流水线编辑页「变量」选项卡中，检查是否添加对应变量组，跨项目变量组需勾选「允许访问所有管道」；
• 若ARM_ACCESS_KEY是保密变量，需确认流水线执行阶段允许传递保密变量（默认允许，但若有自定义任务限制可能被过滤）。

4. Terraform Backend配置的变量传递逻辑错误 #

如果main.tf中backend配置直接引用变量，示例如下：

terraform {
  backend "azurerm" {
    resource_group_name  = "rg-terraform"
    storage_account_name = "tfstatexxx"
    container_name       = "tfstate"
    key                  = "terraform.tfstate"
    access_key           = "${var.arm_access_key}"
  }
}

这种写法会在terraform init时出错，因为backend初始化早于变量加载。正确做法：

• 将backend配置移至单独的backend.tf，或在init时通过命令行传递密钥：

terraform init -backend-config="access_key=$(ARM_ACCESS_KEY)"

• 改用Azure AD身份验证替代密钥：流水线中使用Azure资源服务连接，通过az login获取身份后，Terraform会自动用该身份访问Blob Storage。

5. 流水线变量替换时机问题 #

若tfvar文件来自仓库或流水线生成，且文件内写的是arm_access_key = "#{ARM_ACCESS_KEY}#"，需在Terraform任务前添加「替换文件中的变量」任务，将#{}格式的变量替换为实际值后再执行init。

内容的提问来源于stack exchange，提问作者Pallab