Azure DevOps：Terraform CLI替代YAML任务的验证阶段转换是否正确？

企业架构师Julie Ng在《Terraform on Azure Pipelines最佳实践》一文中，推荐在CD（持续部署）流水线的Azure Pipeline YAML配置中直接使用Terraform CLI命令，以此移除任务层的抽象。你尝试将Validate阶段从YAML任务改为直接调用CLI命令，以下是对转换结果的验证和修正建议：

原基于YAML任务的Validate阶段配置 #

stages:
- stage: Validate
  displayName: Validate
  jobs:
  - job: validate
    pool:
    # 初始化ubuntu虚拟机执行任务
      vmImage: ubuntu-latest
    steps:
    # 安装最新版Terraform，生产环境建议指定具体版本避免任务中断
    - task: TerraformInstaller@0
      displayName: install terraform
      inputs:
        terraformVersion: latest

  # Init
    - task: TerraformCLI@0
      displayName: Initialize Terraform
      env:
        ARM_SAS_TOKEN: $(sas_token)
      inputs:
        command: init
        workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet
        commandOptions: -backend-config=storage_account_name=$(storageaccount) -backend-config=container_name=$(container_name) -backend-config=key=$(key)
        backendType: selfConfigured


    - task: TerraformCLI@0
      displayName: Validate Config
      inputs:
        command: validate
        workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet

你转换后的基于Terraform CLI的配置 #

stages:
- stage: Validate
  pool:
  # 如果使用最新版ubuntu，是否需要更新上游包仓库？
    vmImage: ubuntu-latest
  steps:
  
  - bash: sudo apt-get update && sudo apt-get install terraform -y
    displayName: Installing latest version of terraform
  
  - bash: terraform init -backend-config=<path containing backend config file>
    displayName: initialising terraform config documents
    workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet

  - bash: terraform validate
    displayName: validating terraform documents
    workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet

转换中的问题与修正建议 #

1. Terraform安装方式不符合原需求 #

原配置使用TerraformInstaller@0安装最新版Terraform，但Ubuntu默认软件仓库中的Terraform版本通常滞后于官方最新版。要匹配原配置的"latest"要求，应该使用HashiCorp官方提供的APT仓库来安装，确保拿到最新版本：

curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo apt-key add -
sudo apt-add-repository "deb [arch=$(dpkg --print-architecture)] https://apt.releases.hashicorp.com $(lsb_release -cs) main"
sudo apt-get update && sudo apt-get install terraform -y

2. Init命令未完全匹配原逻辑 #

原配置的init步骤有两个关键细节你没覆盖：

• 传递了三个backend-config参数（存储账户名、容器名、密钥），而非通过配置文件
• 设置了ARM_SAS_TOKEN环境变量用于Azure存储后端的身份验证

修正后的init命令应该是：

- bash: terraform init -backend-config=storage_account_name=$(storageaccount) -backend-config=container_name=$(container_name) -backend-config=key=$(key)
  displayName: 初始化Terraform配置
  workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet
  env:
    ARM_SAS_TOKEN: $(sas_token)

3. 关于apt-get update的疑问 #

微软托管的ubuntu-latest镜像虽然会定期更新，但执行sudo apt-get update可以确保仓库索引是最新的，避免安装包时出现找不到版本的问题，尤其是添加了HashiCorp官方仓库后，这一步是必要的。

4. 阶段结构简化的说明 #

原配置中stage下嵌套了jobs和job，你转换后的配置直接在stage下写pool和steps，这是Azure Pipelines支持的简化写法（会自动创建默认job），结构上是合法的，无需修改。

修正后的完整Validate阶段配置 #

stages:
- stage: Validate
  displayName: Validate
  pool:
    vmImage: ubuntu-latest
  steps:
  
  - bash: |
      curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo apt-key add -
      sudo apt-add-repository "deb [arch=$(dpkg --print-architecture)] https://apt.releases.hashicorp.com $(lsb_release -cs) main"
      sudo apt-get update && sudo apt-get install terraform -y
    displayName: 安装最新版Terraform
  
  - bash: terraform init -backend-config=storage_account_name=$(storageaccount) -backend-config=container_name=$(container_name) -backend-config=key=$(key)
    displayName: 初始化Terraform配置
    workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet
    env:
      ARM_SAS_TOKEN: $(sas_token)

  - bash: terraform validate
    displayName: 验证Terraform配置文件
    workingDirectory: $(System.DefaultWorkingDirectory)/ned-cloud-tutorial/vnet

内容的提问来源于stack exchange，提问作者ZimCanIT