Terraform模块中VM创建/销毁时自定义脚本执行的优雅实现问询

核心方案：基于null_resource+for_each的多脚本独立执行模型 #

针对你遇到的所有痛点，推荐以下实现方式，兼顾独立性、可重试性、脚本更新兼容性和临时环境适配：

1. 模块输入定义 #

先在模块里定义结构化的脚本输入，让用户可以为每个VM指定创建/销毁阶段的多个脚本：

variable "vms" {
  type = list(object({
    name           = string
    # 其他VM配置字段（如CPU、内存、镜像等）
    provision_scripts = optional(list(object({
      name     = string
      command  = string
      when     = string # 取值为 "create" 或 "destroy"
    })), [])
  }))
}

2. 生成扁平化的脚本执行任务列表 #

用flatten和for表达式把每个VM的脚本转换成独立任务，方便null_resource遍历：

locals {
  provision_tasks = flatten([
    for vm in var.vms : [
      for script in vm.provision_scripts : {
        vm_name     = vm.name
        script_name = script.name
        command     = script.command
        when        = script.when
        # 生成唯一标识符，确保每个VM-脚本组合独立
        id          = "${vm.name}-${script.name}-${script.when}"
      } if script.command != "" # 过滤空脚本，避免无效任务
    ]
  ])
}

3. 用null_resource执行脚本，处理创建/销毁逻辑 #

针对每个任务创建独立的null_resource，通过local-exec在Terraform执行环境本地运行脚本，同时解决脚本更新和生命周期问题：

resource "null_resource" "provisioner" {
  for_each = { for task in local.provision_tasks : task.id => task }

  # 创建阶段执行的脚本
  provisioner "local-exec" {
    command = each.value.command
    when    = create
    only_if = each.value.when == "create"
    # 可选：传递VM元数据给脚本
    environment = {
      VM_NAME = each.value.vm_name
      VM_IP   = vsphere_virtual_machine.vms[each.value.vm_name].default_ip_address
    }
  }

  # 销毁阶段执行的脚本
  provisioner "local-exec" {
    command = each.value.command
    when    = destroy
    only_if = each.value.when == "destroy"
    environment = {
      VM_NAME = each.value.vm_name
    }
  }

  # 控制脚本更新行为
  lifecycle {
    # 创建脚本内容变化时，触发资源替换（重新执行创建脚本）
    replace_triggered_by = [
      each.value.when == "create" ? each.value.command : null
    ]
    # 忽略销毁脚本的内容变化，避免不必要的资源重建，销毁时直接用最新脚本
    ignore_changes = [
      each.value.when == "destroy" ? provisioner.local-exec[1].command : null
    ]
  }

  # 依赖对应VM资源，确保VM创建完成后再执行脚本
  depends_on = [
    # 替换为你的VM资源引用，例如 vsphere_virtual_machine.vms[each.value.vm_name]
  ]
}

方案优势对比 #

• 多脚本独立重试：每个脚本对应独立的null_resource，单个脚本失败不影响其他任务，可单独执行terraform apply -target=null_resource.provisioner["任务ID"]重试
• 脚本更新兼容：创建脚本更新时自动触发重新执行；销毁脚本更新不会触发资源重建，销毁阶段直接使用最新内容
• 临时环境适配：无需依赖local_file，脚本内容直接通过command传递，在容器等临时执行环境中正常运行
• 避免密钥传递风险：所有脚本在Terraform执行环境本地运行，无需推送到VM，完全符合你的安全要求
• 无废弃特性依赖：用官方推荐的replace_triggered_by替代triggers，不存在特性被移除的风险

补充优化建议 #

• 如果脚本内容较长，用户可通过heredoc传递：

  # 用户侧调用示例
  provision_scripts = [
    {
      name    = "register_cmdb"
      command = <<EOF
  

curl -X POST https://cmdb.example.com/register
-d '{"vm_name": "${var.vm_name}", "ip": "${vsphere_virtual_machine.vm.default_ip_address}"}'
EOF
when = "create"
}
]

- 可添加脚本超时、错误重试等配置，增强鲁棒性：
```hcl
provisioner "local-exec" {
  command = each.value.command
  when    = create
  only_if = each.value.when == "create"
  timeout = "5m"
  # 结合shell命令实现重试逻辑，例如：
  # command = "retry 3 ${each.value.command}"
}

内容的提问来源于stack exchange，提问作者Vaidas Kascėnas