如何在GitHub Actions中执行Terraform Init时使用GCP密钥Secret

下面给你两种实用方法，不用把cred.json存进仓库就能正常运行terraform init：

方法1：利用Provider自动识别环境变量（推荐） #

Google Terraform Provider默认会读取GOOGLE_CREDENTIALS环境变量里的JSON密钥内容，不需要修改原有Provider配置，步骤如下：

1. 修改GitHub Actions工作流
   在执行Terraform命令的步骤里，把GitHub Secret注入成环境变量：

   - name: 初始化Terraform
     env:
       GOOGLE_CREDENTIALS: ${{ secrets.GCP_CREDENTIALS }}
     run: terraform init
   

   注意这里用secrets.GCP_CREDENTIALS，因为你是把密钥存在GitHub Secrets里，不是普通环境变量。

2. 简化Terraform Provider配置
   删掉credentials = file("cred.json")这一行，Provider会自动读取环境变量里的密钥：

   provider "google" {
     project     = var.project
     region      = var.region
     zone        = var.zone
   }
   

方法2：显式在Provider配置中引用变量 #

如果你想在配置里明确处理密钥，可以用jsondecode解析环境变量传递的JSON内容：

1. 工作流中传递密钥
   在工作流步骤里注入Secret，或者通过Terraform的TF_VAR_前缀变量自动传递：

   - name: 初始化Terraform
     env:
       TF_VAR_gcp_credentials: ${{ secrets.GCP_CREDENTIALS }}
     run: terraform init
   

2. 更新Terraform配置
   首先在variables.tf里定义变量：

   variable "gcp_credentials" {
     type        = string
     description = "GCP服务账号JSON密钥"
   }
   

   然后修改Provider配置，用jsondecode解析变量内容：

   provider "google" {
     credentials = jsondecode(var.gcp_credentials)
     project     = var.project
     region      = var.region
     zone        = var.zone
   }
   

关键注意点 #

• 绝对不要把cred.json提交到代码仓库，始终用GitHub Secrets存储敏感密钥。
• 确保GCP服务账号拥有足够的IAM权限，否则Terraform会执行失败。

内容的提问来源于stack exchange，提问作者Indrid