Azure中Terraform部署Windows VM后修改本地管理员密码的方案咨询

我来分享一个靠谱的解决方案，能帮你把部署后修改VM密码的操作集成到Terraform流程里，全程自动化，还能避免敏感密码长期留在状态文件里：

先用临时密码（支持交互式输入）完成Windows 2016 VM的基础部署，然后通过Azure自定义脚本扩展执行PowerShell脚本，自动生成或从安全存储读取新密码替换临时密码。整个过程完全编程化，不需要手动干预。

1. 调整Terraform配置，添加自定义脚本扩展 #

在你的VM资源配置后，新增azurerm_virtual_machine_extension资源，确保它在VM部署完成后再执行密码重置操作：

resource "azurerm_virtual_machine" "win2016_vm" {
  name                  = "win2016-standard-vm"
  location              = azurerm_resource_group.rg.location
  resource_group_name   = azurerm_resource_group.rg.name
  network_interface_ids = [azurerm_network_interface.nic.id]
  vm_size               = "Standard_D2s_v3"

  storage_image_reference {
    publisher = "MicrosoftWindowsServer"
    offer     = "WindowsServer"
    sku       = "2016-Datacenter"
    version   = "latest"
  }

  storage_os_disk {
    name              = "win2016-os-disk"
    caching           = "ReadWrite"
    create_option     = "FromImage"
    managed_disk_type = "Standard_LRS"
  }

  os_profile {
    computer_name  = "win2016-vm"
    admin_username = "localadmin"
    # 交互式输入临时密码，给这个变量加上sensitive标记避免输出泄露
    admin_password = var.temp_admin_password
  }

  os_profile_windows_config {
    provision_vm_agent = true # 必须启用VM代理才能运行扩展
  }
}

# 密码重置扩展：部署完成后自动执行PowerShell脚本
resource "azurerm_virtual_machine_extension" "reset_admin_password" {
  name                 = "ResetAdminPassword"
  virtual_machine_id   = azurerm_virtual_machine.win2016_vm.id
  publisher            = "Microsoft.Compute"
  type                 = "CustomScriptExtension"
  type_handler_version = "1.10"

  # 指定要执行的脚本命令
  settings = jsonencode({
    "commandToExecute" = "powershell -ExecutionPolicy Unrestricted -File reset-password.ps1"
  })

  # 从私有存储账户加载脚本（推荐用SAS Token或托管身份控制访问）
  protected_settings = jsonencode({
    "fileUris" = ["https://your-private-storage.blob.core.windows.net/scripts/reset-password.ps1?your-sas-token"]
  })

  # 依赖VM部署完成
  depends_on = [azurerm_virtual_machine.win2016_vm]
}

# 定义临时密码变量，标记为敏感
variable "temp_admin_password" {
  type      = string
  sensitive = true
  description = "临时管理员密码，部署后会被自动替换"
}

2. 编写PowerShell重置脚本（reset-password.ps1） #

这个脚本可以自动生成强密码，替换临时密码，还能把新密码存入Azure Key Vault（推荐）方便后续取用：

# 生成符合Azure密码要求的强密码：长度16，包含大小写、数字、特殊字符
$newPassword = -join ((65..90) + (97..122) + (48..57) + (33,35,36,37,64) | Get-Random -Count 16 | ForEach-Object {[char]$_})

# 替换本地管理员密码
$adminUser = Get-LocalUser -Name "localadmin"
$adminUser | Set-LocalUser -Password (ConvertTo-SecureString $newPassword -AsPlainText -Force)

# 可选：将新密码存入Azure Key Vault（需给VM分配托管身份并赋予Key Vault权限）
# Install-Module -Name Az.KeyVault -Force -Scope CurrentUser
# Connect-AzAccount -Identity
# Set-AzKeyVaultSecret -VaultName "your-keyvault-name" -Name "WinVMAdminPassword" -SecretValue (ConvertTo-SecureString $newPassword -AsPlainText -Force)

# 调试用：将密码写入扩展日志（生产环境请注释掉这行）
Write-Output "New admin password generated: $newPassword"

3. 关键安全注意事项 #

• 临时密码处理：虽然临时密码会写入Terraform状态文件，但部署完成后会被立即替换，你可以在部署结束后手动清理状态文件中的临时密码字段，或者使用Terraform Cloud/Enterprise的加密状态存储。
• 脚本存储安全：把PowerShell脚本放在私有Azure存储容器中，用SAS Token或VM托管身份限制访问，避免脚本被未授权者获取。
• Key Vault集成：如果使用Key Vault存储新密码，务必给VM的系统托管身份添加Key Vault的Secret Set权限，确保脚本能正常写入密码。

进阶优化：直接用Key Vault管理初始密码 #

如果不想让任何明文密码出现在状态文件里，可以让Terraform从Key Vault读取初始临时密码，部署完成后再用脚本生成新密码存入Key Vault：

# 从Key Vault读取临时密码
data "azurerm_key_vault_secret" "temp_admin_password" {
  name         = "WinVMTempAdminPassword"
  key_vault_id = azurerm_key_vault.vault.id
}

resource "azurerm_virtual_machine" "win2016_vm" {
  # ... 其他配置 ...
  os_profile {
    admin_username = "localadmin"
    admin_password = data.azurerm_key_vault_secret.temp_admin_password.value
  }
}

这样状态文件里只会存储Key Vault秘密的引用，不会出现任何明文密码，安全性更高。

内容的提问来源于stack exchange，提问作者phydeauxman