Terraform部署RDS MySQL后执行SQL脚本无效问题排查

你遇到的核心问题是用错了provisioner类型：remote-exec是用来在Terraform创建的**远程服务器（比如EC2实例）**上通过SSH/WinRM执行命令的，而AWS RDS是托管的数据库服务，你根本没法直接登录到RDS实例的操作系统上执行脚本——这也是为什么你的配置完全没效果，甚至Terraform plan都识别不到相关变更的原因。

另外，就算能用remote-exec，Terraform也不会主动跟踪SQL脚本里的内容变更，除非你明确配置触发器。

方案1：用Terraform MySQL Provider管理数据库对象（推荐） #

这种方式的优势是Terraform会把数据库表、列等对象纳入状态管理，后续修改表结构时Terraform能自动识别变更，更符合基础设施即代码的理念。

步骤1：配置MySQL Provider #

先在你的Terraform代码中添加MySQL Provider，用来连接到RDS实例：

provider "mysql" {
  endpoint = "${aws_db_instance.mydb.endpoint}:${aws_db_instance.mydb.port}"
  username = aws_db_instance.mydb.username
  password = aws_db_instance.mydb.password
}

步骤2：定义数据库表（替代CREATE TABLE脚本） #

用mysql_table资源直接创建表，替代脚本中的CREATE TABLE语句：

resource "mysql_table" "users" {
  name     = "users"
  database = aws_db_instance.mydb.db_name

  column {
    name          = "id"
    type          = "INT"
    nullable      = false
    auto_increment = true
    primary_key   = true
  }

  column {
    name     = "username"
    type     = "VARCHAR(100)"
    nullable = false
    unique   = true
  }

  column {
    name     = "email"
    type     = "VARCHAR(255)"
    nullable = false
  }
}

关于INSERT语句 #

如果是插入静态初始化数据（比如基础配置数据），可以配合null_resource + local-exec来执行；如果是动态业务数据，建议不要用Terraform管理，交给应用程序处理更合适。

方案2：用null_resource + local-exec执行SQL脚本 #

如果你更倾向于直接用现成的SQL脚本，那么可以用local-exec在本地机器上执行mysql命令，连接到RDS执行脚本。

示例配置 #

resource "aws_db_instance" "mydb" {
  # 你的现有RDS配置
  engine               = "mysql"
  instance_class       = "db.t3.micro"
  allocated_storage    = 20
  db_name              = "mydb"
  username             = "admin"
  password             = var.db_password # 建议用变量存储，不要硬编码
  publicly_accessible  = true # 根据你的VPC安全组配置调整，确保本地能访问
  skip_final_snapshot  = true
}

resource "null_resource" "execute_sql_script" {
  # 当SQL脚本内容变更时，触发重新执行
  triggers = {
    script_content_hash = filemd5("${path.module}/script.sql")
  }

  # 确保RDS实例完全创建完成再执行脚本
  depends_on = [aws_db_instance.mydb]

  provisioner "local-exec" {
    command = <<EOT
      mysql -h ${aws_db_instance.mydb.endpoint} -P ${aws_db_instance.mydb.port} -u ${aws_db_instance.mydb.username} -p${aws_db_instance.mydb.password} ${aws_db_instance.mydb.db_name} < ${path.module}/script.sql
    EOT
    # Windows环境请调整为mysql.exe的完整路径，比如：
    # "C:/Program Files/MySQL/MySQL Server 8.0/bin/mysql.exe -h ..."
  }
}

注意事项 #

1. 本地机器必须安装MySQL客户端（mysql命令行工具）
2. RDS的安全组要允许你的本地IP访问3306端口
3. 不要硬编码数据库密码，建议用Terraform变量、AWS Secrets Manager或者HashiCorp Vault来存储敏感信息

内容的提问来源于stack exchange，提问作者Julie