Azure DevOps YAML跨阶段传PowerShell变量至Terraform问题咨询

• 业务场景：基于Logic App实现Azure告警推送至Slack，Logic App负责将告警payload转换为Slack兼容的消息JSON schema，转换完成后自动推送到Slack。Logic App通过ARM模板部署，其余Azure资源由Terraform编排，所有资源通过多阶段Azure DevOps YAML流水线完成部署，目前Logic App的转换逻辑已开发完成。
• 核心需求：自动获取Logic App的HTTP触发URL，写入Terraform配置作为告警规则的发送目标。当前Terraform azurerm提供方的Logic App工作流、标准Logic App实例数据源均未暴露该触发URL属性。
• 已尝试方案：
  1. 通过Az PowerShell模块的命令获取触发URL（经确认当时使用的Azure CLI版本无对应能力），获取脚本如下：

  $logicApp = Get-AzLogicAppTriggerCallbackUrl -ResourceGroupName "logic-app-rg" -Name "mylogicapp" -TriggerName "Manual"
  $url = logicApp.Value
  

  2. 通过流水线日志命令将URL设置为作业输出变量，传递到后续Terraform部署阶段：

  write-host "##vso[task.setvariable variable=outputURL;isOutput=true]$url"
  

  3. 由于仅需部署1个Logic App，URL获取步骤放在第一阶段（部署核心基础设施，含Terraform状态存储账号）执行。
• 当前阻碍：
  • 流水线包含build阶段，无法跳过，否则后续应用部署流程无法执行
  • 传递到Terraform部署阶段的URL变量始终为null，传值失败
• 现有简化流水线配置：

stages:
- stage: infra-1
  jobs:
  - job: deploy-common-infra
    steps:
    - script: |
        cd core-infra
        terraform init
        terraform plan
        terraform apply
        $logicApp = Get-AzLogicAppTriggerCallbackUrl -ResourceGroupName "logic-app-rg" -Name "mylogicapp" -TriggerName "Manual"
        $url = logicApp.Value
        write-host "##vso[task.setvariable variable=outputURL;isOutput=true]$url"
      name: getLogicAppURL
- stage: build
  jobs:
  - job: build
    steps:
    - task: build-app
- stage: infra-2
  dependsOn:
  - infrastructure-1
  variables:
    outputURL: $[stageDependencies.infra-1.deploy-common-infra.outputs['getLogicAppURL.outputURL']]
  jobs:
  - job: deploy-infra
    steps:
    - script: |
        cd infra
        terraform init
        terraform plan -var="logicAppUrl='$(outputURL)'"
        terraform apply

注：生产环境使用专用Terraform任务执行部署，而非直接通过脚本调用Terraform命令。

• 待确认问题：
  1. 跨YAML流水线阶段传递变量给Terraform是否只有当前尝试的这一种方式？
  2. 当前实现思路是否为最优方案？是否存在其他更合理的实现路径？

现有传值为null的根因与修复 #

你当前的跨阶段传值逻辑本身是Azure DevOps的标准实现方式，变量为null完全是配置错误导致的，共有3个明确问题：

1. PowerShell脚本笔误：获取URL的脚本写为$url = logicApp.Value，漏了变量前缀$，正确写法为$url = $logicApp.Value，该错误直接导致$url本身为空值。
2. 阶段依赖名称不匹配：infra-2阶段的dependsOn配置写的是- infrastructure-1，但第一阶段的实际名称是infra-1，名称不一致导致流水线无法拉取上游阶段的输出变量。
3. 依赖链缺失：如果需要保留build阶段且保证执行顺序，infra-2需要同时添加对build阶段的依赖，否则两个阶段可能并行执行，不符合流水线顺序要求。

修复后的infra-2配置示例如下：

- stage: infra-2
  dependsOn:
  - infra-1 # 与第一阶段名称完全一致
  - build # 增加对build阶段的依赖，无需跳过build流程
  variables:
    outputURL: $[stageDependencies.infra-1.deploy-common-infra.outputs['getLogicAppURL.outputURL']]
  jobs:
  - job: deploy-infra
    steps:
    - script: |
        cd infra
        terraform init
        terraform plan -var="logicAppUrl=$(outputURL)" # 无需额外嵌套单引号，Terraform会自动识别字符串类型
        terraform apply

修复上述问题、确认执行PowerShell的任务已经完成Az账号登录且有Logic App读取权限后，跨阶段传值即可正常工作。

更优实现方案（推荐） #

流水线跨阶段传值的方式可用，但会增加流水线和Terraform配置的耦合度，不是最优解。推荐直接在Terraform层完成Logic App触发URL的获取，完全不需要在流水线中编写额外脚本、处理跨阶段传值逻辑，从根源上避免传值失败问题，有两种落地路径：

1. 全Terraform管理Logic App：放弃ARM模板部署Logic App，直接通过azurerm提供方的Logic App工作流资源部署Logic App，该资源会直接导出触发器回调URL属性，可在Terraform内部直接引用给告警规则资源，无需额外调用接口。
2. 保留ARM模板部署的方案：如果不想改写现有ARM模板，可通过Terraform的AzAPI提供者直接调用Azure开放API获取Logic App触发URL，完全不依赖流水线脚本或PowerShell模块，示例配置如下：

data "azapi_resource_action" "logic_app_trigger_url" {
  type                   = "Microsoft.Logic/workflows/triggers@2019-05-01"
  resource_id            = "/subscriptions/<你的订阅ID>/resourceGroups/<Logic App所在资源组名>/providers/Microsoft.Logic/workflows/<Logic App名称>/triggers/Manual"
  action                 = "listCallbackUrl"
  response_export_values = ["value"]
}

# 通过 data.azapi_resource_action.logic_app_trigger_url.output.value 即可直接拿到触发URL，直接传给告警规则配置即可

该方案所有配置逻辑收敛在Terraform内部，流水线只需要按顺序执行Terraform init/plan/apply即可，稳定性远高于流水线传值方案，后续维护成本更低。

内容的提问来源于stack exchange，提问作者Boolean