在GitHub Actions中搭配Terraform Cloud使用Google Provider报错

• 1. GCP Provider配置存在显式空值credentials参数：你在provider块中显式声明了credentials参数但没有赋值，provider会优先读取该参数的空值作为凭证，忽略环境变量的配置，直接触发凭证校验失败。
• 2. 环境变量配置位置错误：
  • 如果你使用Terraform Cloud本地执行模式，你没有将GCP凭证配置到GitHub仓库的Secrets中，也没有在工作流步骤中显式注入GOOGLE_CREDENTIALS环境变量，GitHub Actions运行时无法读取你本地配置的环境变量。
  • 如果你使用Terraform Cloud远程执行模式，执行逻辑运行在Terraform Cloud的服务器上，你本地或GitHub Actions中配置的环境变量不会生效，需要将凭证配置到Terraform Cloud对应工作区的环境变量中。

第一步：修复Provider配置 #

直接删除provider块中空白的credentials参数，让provider自动按优先级读取环境变量中的凭证，修改后配置如下：

provider "google" {
  region  = local.region
  project = local.project
}

第二步：根据执行模式配置凭证 #

场景1：使用Terraform Cloud本地执行模式 #

1. 将你下载的GCP服务账号密钥JSON完整内容，存到对应GitHub仓库的Secrets中，命名为GCP_CREDENTIALS。
2. 修改工作流中的Terraform相关步骤，显式注入GOOGLE_CREDENTIALS环境变量，示例修改后的Terraform Plan步骤如下：

- name: Terraform Plan
  working-directory: ./terraform
  run: terraform plan
  env:
    GOOGLE_CREDENTIALS: ${{ secrets.GCP_CREDENTIALS }}

3. 所有涉及到Terraform执行的步骤（比如Terraform Apply）都需要加上上述的env配置。

场景2：使用Terraform Cloud远程执行模式 #

登录Terraform Cloud控制台，进入对应工作区的变量配置页面，新增环境变量：

• 变量名：GOOGLE_CREDENTIALS
• 变量值：填写GCP服务账号密钥的完整JSON内容
• 勾选「敏感」选项，保存后即可生效。

内容的提问来源于stack exchange，提问作者tmp dev