如何在Terraform脚本起始阶段运行null_resource资源

Terraform的执行是严格按照两个阶段顺序运行的，不存在可以“插队”的自定义初始执行逻辑：

• 第一阶段（依赖图构建）：扫描所有配置、计算所有可提前求值的表达式、梳理资源间的引用关系，这个阶段完全不会执行任何provisioner、外部脚本
• 第二阶段（资源执行）：等完整依赖图梳理完成，才会按顺序执行资源创建、provisioner逻辑

你之前尝试的写法有两个核心问题：

• triggers是null_resource专属的配置参数，locals块根本不支持这个参数，写在locals里不会有任何实际效果
• 你虽然单独写了一行引用null_resource.populate_data.id的配置，但config_data的读文件表达式和这个引用没有任何关联，Terraform根本识别不到两者的先后依赖关系，还是会在第一阶段就去读app_config.json——这时候Python脚本还没运行，读到的要么是旧版本的文件，要么是不存在的文件。

方案1：保留原有null_resource，通过依赖占位拉通执行顺序 #

如果你还是希望用null_resource跑脚本、生成本地的app_config.json文件，只需要调整依赖关系即可：

1. 先给null_resource加上稳定的触发规则，避免每次terraform apply都无意义重复执行脚本：

   resource "null_resource" "populate_data" {
     # 追踪脚本、依赖源文件的hash，只有内容变化时才重新执行
     triggers = {
       script_hash = filehash("${path.module}/scripts/data_populate.py")
       source_input_hash = filehash("${path.module}/source/raw_input.csv")
     }
     provisioner "local-exec" {
       command = "python3 scripts/data_populate.py"
       working_dir = path.module
     }
   }
   

2. 调整locals的写法，让读文件的表达式直接和null_resource建立引用关联，强制Terraform把这个local的求值顺序延迟到null_resource执行完成之后：

   locals {
     # 用try函数把null_resource的引用内嵌到表达式中
     # 只要JSON文件能正常解析，就直接返回解析结果，第二个分支永远不会触发
     # 但Terraform会识别到表达式对null_resource的引用，自动排定先后顺序
     config_data = try(
       jsondecode(file("${path.module}/app_config.json")),
       null_resource.populate_data.id,
       {}
     )
   }
   

调整完成后，Terraform会自动按照下面的顺序执行，完全匹配你的需求：

• 先判断null_resource是否需要执行
• 运行Python脚本生成最新的app_config.json
• 读取并解析app_config.json为config_data
• 执行所有其他用到config_data的资源

后续所有引用local.config_data的资源，都会自动传递这个依赖关系，不需要逐个添加depends_on配置。

方案2：用external数据源替代null_resource，更适配Terraform原生逻辑 #

如果你的Python脚本可以直接输出JSON格式的结构化结果，这个方案会更简洁，不需要额外的依赖占位逻辑：

# external数据源的设计初衷就是在Terraform执行流程中运行外部命令获取配置
data "external" "populate_config" {
  program = ["python3", "${path.module}/scripts/data_populate.py"]
  # 同样加上触发判断，避免无意义重复执行
  query = {
    script_hash = filehash("${path.module}/scripts/data_populate.py")
  }
}

locals {
  # 直接引用数据源的返回值，不需要手动读取本地文件
  config_data = data.external.populate_config.result
}

这个方案里，external数据源天然处于依赖图的上游位置，所有引用它的资源和locals都会自动排在它执行完成之后，完全不需要手动处理依赖顺序。

内容的提问来源于stack exchange，提问作者Farhaan Patel