Azure Terraform使用WinRM+remote-exec时出现连接超时问题

1 补全connection块缺失的WinRM必填参数 #

你当前的连接块没有指定WinRM端口、传输协议、证书校验规则等关键参数，Terraform不会自动适配WinRM默认连接配置，参考以下配置补全：

connection {
  type     = "winrm"
  user     = "testadmin"
  password = "Password1234!"
  host     = azurerm_public_ip.example.ip_address
  port     = 5985 # WinRM HTTP默认端口，走HTTPS则改为5986
  https    = false # 启用HTTPS传输则设为true
  insecure = true # 自签证书测试场景跳过证书校验，测试环境建议添加
  timeout  = "5m" # 预留足够等待时间，避免VM未完成初始化就触发连接
}

注意：你配置的全端口放通规则仅作用于Azure网络层，既不代表VM内部系统防火墙放通了WinRM端口，也不代表WinRM服务本身已启动。

2 确认VM内部已正确启用WinRM服务 #

Azure官方Windows镜像默认不会配置允许公网访问的WinRM监听器，创建VM后直接连接必然失败。测试阶段可以通过Azure门户串行控制台登录VM，执行以下PowerShell命令快速配置WinRM HTTP监听器：

# 启用PSRemoting基础配置
Enable-PSRemoting -Force
# 放通公网访问WinRM HTTP端口的防火墙规则
Set-NetFirewallRule -Name "WINRM-HTTP-In-TCP-PUBLIC" -RemoteAddress Any
# 开启基本认证、允许HTTP未加密传输（仅测试环境用）
winrm set winrm/config/service/auth '@{Basic="true"}'
winrm set winrm/config/service '@{AllowUnencrypted="true"}'

生产环境禁止使用未加密HTTP传输和基本认证，需配置可信证书走5986 HTTPS端口，关闭明文传输配置。

3 修正provisioner配置逻辑 #

• 你当前的remote-exec没有做就绪等待，Terraform会在VM资源返回创建成功标识后立刻发起连接，此时VM内部可能还在完成系统初始化、网络配置、服务启动流程，很容易触发超时。可以通过connection块的timeout参数拉长等待时间，或增加重试逻辑。
• 注意script参数的路径是运行terraform apply命令的本地设备路径，不是目标VM内部的路径。如果要执行VM内已经存在的脚本，需要改用inline参数调用：

provisioner "remote-exec" {
  inline = [
    "powershell -ExecutionPolicy Unrestricted -File C:\\Proj\\Fali\\vm\\DC.ps1"
  ]
}

4 逐层排查网络连通性 #

在运行Terraform的设备上执行Test-NetConnection <VM公网IP> -Port 5985（HTTPS场景测5986端口）测试端口连通性，根据结果排查：

• 如果端口不通：
  • 检查你配置的NSG规则是否正确关联到了VM网卡对应的子网或网卡本身，未关联的NSG规则不会生效
  • 检查VM内部Windows Defender防火墙是否放通对应WinRM端口，默认WinRM公网访问规则是禁用状态
  • 检查链路中是否有代理、防火墙、DDoS防护策略拦截了WinRM端口流量
• 如果端口能通仍然连接失败：
  • 确认WinRM服务已开启基本认证、对应传输模式的访问权限
  • 确认配置的testadmin账号属于VM本地管理员组，密码无转义错误、符合Windows密码复杂度要求

5 其他注意事项 #

• 全端口放通的NSG规则仅可用于临时测试，验证完成后需收敛规则，仅放通你的运维出口IP到WinRM对应端口的访问权限，避免被暴力破解
• 使用WinRM HTTPS时，需要给VM绑定和访问域名/IP匹配的可信证书，正式环境关闭insecure跳过校验配置
• Windows VM首次启动初始化通常需要3-5分钟，不要设置过短的连接超时时间

内容的提问来源于stack exchange，提问作者Madhur Asati