Terraform中如何管理本地生成的有状态配置文件？

首先纠正你示例代码里的笔误：local_file.config的content字段引用的local._config_tpl多了下划线，正确应为local.config_tpl。

针对你需要持久化local-exec生成的配置文件、适配CI洁净工作区的需求，目前行业内常用的有三类成熟方案，按实现复杂度从低到高排序如下：

1. 内容直接存入Terraform状态（优先推荐） #

这是最轻量的方案，不需要引入额外外部存储，所有配置数据直接和Terraform状态绑定，生命周期完全对齐你管理的基础设施。
实现逻辑：用Terraform 1.4+ 官方提供的terraform_data资源（替代旧版null_resource），在local-exec执行完成后，将所有生成的配置文件打包转base64后存入资源的output字段，自动持久化到Terraform状态中。每次运行Terraform时，自动从状态中读取打包内容恢复到本地工作区。
示例代码：

locals {
  config_tpl = templatefile("${path.module}/config.tpl", {
    foo = "bar"
  })
  # 列出所有需要持久化的生成文件
  persisted_files = [
    "config.yaml",
    "generated_infra_config.yaml",
    "destroy_params.json"
  ]
}

resource "local_file" "config" {
  content  = local.config_tpl
  filename = "${path.module}/config.yaml"
}

resource "terraform_data" "exec_my_command" {
  # 配置变更时才重新执行命令
  input = local_file.config.content_sha256

  provisioner "local-exec" {
    command     = "../scripts/my_command.sh"
    working_dir = path.module
  }

  # 命令执行完成后打包所有需要持久化的文件，转base64存入状态
  provisioner "local-exec" {
    command = <<EOT
      tar -czf - -C ${path.module} ${join(" ", local.persisted_files)} | base64 -w 0
    EOT
  }

  depends_on = [local_file.config]
}

# 每次执行Terraform时自动从状态恢复文件到本地
resource "local_file" "config_bundle" {
  count    = terraform_data.exec_my_command.output != null ? 1 : 0
  content  = base64decode(terraform_data.exec_my_command.output)
  filename = "${path.module}/.config_bundle.tar.gz"

  provisioner "local-exec" {
    command = "tar -xzf ${self.filename} -C ${path.module} && rm -f ${self.filename}"
  }
}

适用场景：生成的文件总大小不超过10MB，不会导致Terraform状态体积过大影响执行效率。

2. 云存储桶自动托管（适合大体积配置） #

如果你生成的配置文件体积较大，不适合存入Terraform状态，可以用云存储桶方案，但可以通过Terraform封装所有上传、下载逻辑，完全不需要手动操作，不会额外增加流程复杂度：
实现逻辑：用Terraform创建对应环境的专属存储桶，命令执行完自动上传配置包，每次运行时自动拉取包恢复本地文件，销毁资源时自动清空并删除存储桶。
示例代码（以AWS S3为例，其他云存储同理）：

# 省略已有local、local_file、terraform_data资源定义

# 环境专属配置存储桶
resource "aws_s3_bucket" "config_bundle" {
  bucket        = "your-project-${var.env_name}-config-bundle"
  force_destroy = true
}

# 自动上传生成的配置包
resource "aws_s3_object" "config_bundle" {
  bucket = aws_s3_bucket.config_bundle.id
  key    = "latest_config_bundle.tar.gz"
  source = "${path.module}/config_bundle.tar.gz"
  etag   = filemd5("${path.module}/config_bundle.tar.gz")

  depends_on = [terraform_data.exec_my_command]
}

# 自动拉取配置包恢复到本地
data "aws_s3_object" "config_bundle" {
  bucket = aws_s3_bucket.config_bundle.id
  key    = "latest_config_bundle.tar.gz"
  count  = aws_s3_object.config_bundle.id != null ? 1 : 0
}

resource "local_file" "downloaded_bundle" {
  count    = length(data.aws_s3_object.config_bundle) > 0 ? 1 : 0
  content  = data.aws_s3_object.config_bundle[0].body
  filename = "${path.module}/.config_bundle.tar.gz"

  provisioner "local-exec" {
    command = "tar -xzf ${self.filename} -C ${path.module} && rm -f ${self.filename}"
  }
}

3. 动态拉取配置（无需持久化文件） #

如果你用my_command.sh创建的基础设施支持通过API查询配置参数，可以完全不用持久化文件，每次运行时通过data "external"数据源调用脚本动态拉取需要的参数，实时生成配置文件，从根源上解决文件留存问题。

内容的提问来源于stack exchange，提问作者Matt Dunn