如何在Terraform Cloud工作区指定加载对应环境的.tfvars文件？

当然可以实现你的需求！针对你这种按工作区（qa/prod）加载不同非敏感配置文件的场景，我有几个实用的方案，帮你兼顾便捷性和安全性：

方案1：在Terraform Cloud工作区中指定-var-file参数 #

这是最直接的方法，不需要修改代码，只需针对每个工作区配置运行参数：

• 打开database-qa工作区的Settings -> Terraform Version & Settings
• 在Command Options区域，添加执行参数：-var-file=main.qa.tfvars
• 对database-prod工作区重复上述操作，参数改为：-var-file=main.prod.tfvars

这样每次Terraform Cloud运行计划或应用时，都会加载对应环境的tfvars文件，同时工作区中存储的敏感变量（密钥/密码）会自动覆盖或补充配置，完全符合你的安全需求。

方案2：通过Terraform工作区名称动态加载配置文件 #

如果你希望代码层面统一处理，避免逐个工作区配置参数，可以利用terraform.workspace内置变量动态匹配tfvars文件：
在database/main.tf中添加以下代码：

# 确保Terraform版本支持hcldecode（0.14+）
terraform {
  required_version = ">= 0.14"
}

locals {
  # 根据当前工作区名称动态加载对应tfvars文件
  env_config = hcldecode(file("main.${terraform.workspace}.tfvars"))
}

之后你就可以在代码中通过local.env_config引用tfvars里的配置，比如local.env_config.database_version。

这种方法的优势是：

• 无需在Terraform Cloud中额外配置，代码自动适配工作区
• 保持配置文件的集中管理，比逐个录入变量高效得多

注意：要确保你的工作区名称和tfvars文件的后缀完全匹配（比如database-qa工作区对应main.qa.tfvars，如果工作区名称是qa则对应main.qa.tfvars，需要根据实际情况调整文件名或工作区名称）。

替代方案：使用Terraform Cloud变量集 #

如果你的非敏感配置需要跨多个工作区共享，变量集也是一个可选方案：

• 创建qa-config和prod-config两个变量集，分别录入对应环境的非敏感变量
• 将qa-config变量集分配给database-qa工作区，prod-config分配给database-prod工作区

不过这个方案的便捷性不如直接使用tfvars文件，适合变量需要跨工作区复用的场景。

补充说明 #

不管使用哪种方案，你当前将敏感变量存储在Terraform Cloud工作区并标记为敏感的做法是完全正确的——这样敏感数据不会出现在代码库或tfvars文件中，符合安全最佳实践。

内容的提问来源于stack exchange，提问作者Evandro Pomatti