GitLab CI流水线按环境配置不同Azure订阅ID的问题

一、sh兼容的间接变量替换替代方案 #

因为Terraform镜像默认使用sh而非bash，不支持${!VAR}这种间接变量语法，可通过以下两种方式实现：

1. 使用eval实现间接变量引用 #

假设已通过CI逻辑确定当前环境（比如ENV="development"），用eval解析拼接后的变量名：

# 根据CI分支设置环境标识
ENV=""
if [ "$CI_COMMIT_BRANCH" = "develop" ]; then
  ENV="development"
elif [ "$CI_COMMIT_BRANCH" = "main" ]; then
  ENV="production"
else
  echo "Unsupported environment"
  exit 1
fi

# 用eval获取对应环境的变量并导出
eval "ARM_CLIENT_ID=\$${ENV}_ARM_CLIENT_ID"
eval "ARM_CLIENT_SECRET=\$${ENV}_ARM_CLIENT_SECRET"
eval "ARM_SUBSCRIPTION_ID=\$${ENV}_ARM_SUBSCRIPTION_ID"
eval "ARM_TENANT_ID=\$${ENV}_ARM_TENANT_ID"

export ARM_CLIENT_ID ARM_CLIENT_SECRET ARM_SUBSCRIPTION_ID ARM_TENANT_ID

2. 使用case语句直接赋值（环境数量少的场景） #

如果环境类型不多，直接通过分支或环境变量判断赋值，逻辑更直观：

case "$CI_COMMIT_BRANCH" in
  develop)
    ARM_CLIENT_ID="$development_ARM_CLIENT_ID"
    ARM_CLIENT_SECRET="$development_ARM_CLIENT_SECRET"
    ARM_SUBSCRIPTION_ID="$development_ARM_SUBSCRIPTION_ID"
    ARM_TENANT_ID="$development_ARM_TENANT_ID"
    ;;
  main)
    ARM_CLIENT_ID="$production_ARM_CLIENT_ID"
    ARM_CLIENT_SECRET="$production_ARM_CLIENT_SECRET"
    ARM_SUBSCRIPTION_ID="$production_ARM_SUBSCRIPTION_ID"
    ARM_TENANT_ID="$production_ARM_TENANT_ID"
    ;;
  *)
    echo "Unsupported branch for deployment"
    exit 1
    ;;
esac

export ARM_CLIENT_ID ARM_CLIENT_SECRET ARM_SUBSCRIPTION_ID ARM_TENANT_ID

二、更优的GitLab CI原生配置方案 #

无需脚本变量替换，直接利用GitLab CI的变量组和job模板特性，更简洁可靠：

1. 配置环境专属变量组 #

在GitLab项目的Settings > CI/CD > Variables中，创建对应环境的变量组：

• 为development组添加：ARM_CLIENT_ID、ARM_CLIENT_SECRET、ARM_SUBSCRIPTION_ID、ARM_TENANT_ID（值为开发环境的Azure信息）
• 为production组添加相同变量名，对应生产环境的Azure信息

2. 编写CI流水线模板 #

在.gitlab-ci.yml中定义通用Terraform job模板，再为每个环境创建继承模板的job并关联变量组：

# 通用Terraform job模板
.terraform_deploy_template:
  image: hashicorp/terraform:latest
  before_script:
    - terraform init
  script:
    - terraform plan
    - terraform apply -auto-approve

# 开发环境部署job
development_deploy:
  extends: .terraform_deploy_template
  environment:
    name: development
  variables:
    # 关联开发环境变量组（GitLab 13.10+支持）
    CI_VARIABLES_FILE: development
  only:
    - develop

# 生产环境部署job
production_deploy:
  extends: .terraform_deploy_template
  environment:
    name: production
  variables:
    CI_VARIABLES_FILE: production
  only:
    - main
  when: manual  # 生产环境建议手动触发，增加安全性

这种方式下，GitLab会自动为不同环境的job加载对应的变量组，无需手动在脚本中做变量映射，减少出错概率。

内容的提问来源于stack exchange，提问作者John D