如何在Azure Pipeline运行Terraform时输出变量当前值？

Terraform原生支持类似PowerShell Write-Host的日志输出能力，在Azure DevOps Pipeline执行过程中核验变量取值，可按调试场景选以下几种方案：

• 使用output块做标准化输出
  这是最常用、侵入性最低的方案。把需要核验的变量定义为输出值后，Terraform执行terraform plan时会在计划结果末尾列出所有输出的当前取值，terraform apply执行完成后也会统一打印所有输出值，日志会直接同步到Azure DevOps的任务日志面板。
  示例代码：

  # 定义要打印核验的变量输出
  output "check_vm_size" {
    value       = var.vm_size
    description = "核验虚拟机配置尺寸"
    # 非敏感变量不要加sensitive标记，否则输出会被隐藏为<sensitive>
    sensitive = false
  }
  
  output "check_resource_group_location" {
    value = azurerm_resource_group.example.location
  }
  

• 用null_resource+local-exec实现指定节点实时打印
  如果你不想等整个plan/apply流程跑完才看到变量值，或者需要在某个特定资源创建/修改的前后节点打印变量做逻辑校验，可以用空资源配合本地执行器直接调用Shell/PowerShell打印日志，和你平时写Write-Host的效果完全一致，通过依赖关系控制打印时机即可。
  示例代码（Windows Agent环境）：

  resource "null_resource" "print_var_before_vm_create" {
    # 每次执行都触发，避免缓存跳过
    triggers = {
      run_id = timestamp()
    }
  
    # 调用PowerShell打印变量
    provisioner "local-exec" {
      command     = "Write-Host '=== 调试日志：待创建虚拟机管理员账号为${var.vm_admin_username}，绑定公网IP开关为${var.enable_public_ip} ==='"
      interpreter = ["PowerShell", "-NoProfile", "-Command"]
    }
  }
  
  # 让虚拟机资源依赖上面的打印资源，保证先打印再创建资源
  resource "azurerm_linux_virtual_machine" "example" {
    # 省略其他虚拟机配置...
    depends_on = [null_resource.print_var_before_vm_create]
  }
  

  如果是Linux Agent，把interpreter换成["/bin/sh", "-c"]，命令换成echo即可。

• 开启Terraform调试日志打印全量解析过程
  如果你不仅需要核验自己定义的变量，还要看Terraform加载模块、解析依赖、从数据源拉取值的全流程变量赋值情况，直接在Azure DevOps Pipeline里加一个环境变量TF_LOG=INFO即可，执行时Terraform会把所有内部处理的变量取值、执行步骤全量打印到日志里。注意这个模式日志量非常大，敏感变量要提前做好Pipeline日志屏蔽，避免密钥泄露。

注意：所有标记为sensitive = true的敏感变量，Terraform默认会在所有输出里隐藏取值，如果是测试环境临时调试需要查看，可以临时把对应变量/输出的sensitive属性设为false，调试完成后务必改回，避免生产环境泄露凭证。

内容的提问来源于stack exchange，提问作者itye1970