Terraform remote-exec在Proxmox自定义CentOS7 VM服务异常咨询

Terraform 不存在“仅适合创建虚拟机等基础资源、不支持web服务配置”的能力边界，你遇到的服务启动失败完全是remote-exec provisioner 在CentOS7环境下的典型特性踩坑，和工具本身无关。Ansible这类配置管理工具确实能更优雅地处理复杂配置场景，但并非解决该问题的必须依赖。

你遇到的手动执行正常、remote-exec执行失败的问题，90%概率是以下三个原因导致的：

• 非交互会话环境差异：remote-exec 建立的是非交互式SSH连接，不会加载交互式登录时默认读取的/etc/profile、~/.bash_profile等环境配置文件，PATH路径、全局变量和你手动SSH登录时的环境完全不同。如果脚本里的命令没写全路径、依赖自定义环境变量，就会出现执行失败，而手动登录时环境完整所以执行正常。
• systemd 会话进程回收：CentOS7默认用systemd管理进程生命周期，非交互式SSH连接下启动的所有进程都会被绑定到当前SSH会话的cgroup下，Terraform执行完inline命令后会主动断开SSH连接，systemd会默认杀掉该会话关联的所有进程，你刚启动的web服务会被直接终止，自然无法正常访问。
• inline 命令无失败中断：默认情况下inline列表里的命令就算前一步执行失败（比如yum源超时装包失败、tar包损坏解压出错），后续命令依然会继续执行，你看到脚本“跑完了”，实际上前面的部署步骤已经出问题，服务根本没完成部署。手动执行时你能实时看到每一步报错，调整重试后自然能成功。

直接调整remote-exec配置，针对性规避以上问题即可：

provisioner "remote-exec" {
  inline = [
    # 开启执行报错即中断，加载全量环境变量
    "bash -c 'set -ex; source /etc/profile; yum -y install tar'",
    "bash -c 'set -ex; source /etc/profile; tar -C / -xvf /tmp/product.tar'",
    # 用systemd-run将安装启动逻辑放到独立cgroup，避免SSH断开后进程被杀
    "bash -c 'set -ex; source /etc/profile; cd /path/to/extracted/dir; systemd-run --scope sh install.sh'",
    # 等待服务端口正常监听后再退出，避免提前断连
    "until /usr/bin/nc -z localhost 80; do sleep 1; done"
  ]
}

补充几个实操注意点：

• 脚本内所有命令尽量写绝对路径，不要依赖PATH自动匹配，比如用/usr/bin/yum代替yum，/usr/bin/systemctl代替systemctl
• 如果install.sh内是直接启动二进制进程，不要用nohup xxx &这类方式后台运行，建议直接写systemd service文件后通过systemctl start启动，彻底脱离会话生命周期
• 加set -x会打印每一步执行的详细日志，terraform apply时可以直接看到执行输出，方便快速排错

如果你的部署逻辑开始变得复杂：比如需要管理多份配置模板、做配置状态收敛、批量管理几十台以上实例、要求操作幂等（重复执行不会产生异常），那更合理的分工是让Terraform只负责虚拟机、网络等基础资源的创建，资源创建完成后调用Ansible等专门的配置管理工具做服务部署——毕竟Terraform的provisioner设计初衷就是处理开机初始化的简单引导逻辑，不是用来做全生命周期的配置管理的。

内容的提问来源于stack exchange，提问作者primula zara