Настройки подключения провижионера

Большинству провижионеров требуется доступ к удалённому ресурсу через SSH или WinRM, и они ожидают вложенный блок connection с данными о подключении.

Блок подключения​

Можно создать один или несколько блоков connection, описывающих способ доступа к удалённому ресурсу. Например, несколько блоков подключения могут понадобиться, если первый провижионер подключается как пользователь root, чтобы настроить учётные записи, а последующие провижионеры — как пользователь с более ограниченными разрешениями.

Блоки подключения не имеют метки и могут быть вложены в блок resource или provisioner.

• Блок connection, вложенный непосредственно в блок resource, влияет на все провижионеры этого ресурса.
• Блок connection, вложенный в блок provisioner, влияет только на этот провижионер и переопределяет все настройки подключения на уровне ресурса.

Поскольку тип подключения SSH чаще всего используется с недавно созданными удалёнными ресурсами, проверка ключей хоста SSH по умолчанию отключена. Если это неприемлемо, можно настроить отдельный механизм распространения ключей и явно задать аргумент host_key (подробнее ниже), чтобы выполнять проверку по определённому ключу или подписывающему центру сертификации.

Пример использования​

# Copies the file as the root user using SSH
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "/etc/myapp.conf"

  connection {
    type     = "ssh"
    user     = "root"
    password = "${var.root_password}"
    host     = "${var.host}"
  }
}

# Copies the file as the Administrator user using WinRM
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "C:/App/myapp.conf"

  connection {
    type     = "winrm"
    user     = "Administrator"
    password = "${var.admin_password}"
    host     = "${var.host}"
  }
}

Объект self​

Выражения в блоках connection не могут ссылаться на родительский ресурс по имени. Ссылки создают зависимости, а ссылка на ресурс по имени внутри его собственного блока привела бы к циклической зависимости. Вместо этого в выражениях можно использовать объект self, который представляет родительский ресурс подключения и содержит все атрибуты этого ресурса. Например, используйте self.public_ip, чтобы обратиться к атрибуту public_ip ресурса aws_instance.

Справочник аргументов​

Блок connection поддерживает следующие аргументы. Некоторые аргументы поддерживаются только для типа подключения SSH или WinRM.

Подключение через бастион-хост по SSH​

Подключение ssh также поддерживает следующие аргументы для подключения через бастион-хост.

Подключение через HTTP-прокси по SSH​

Подключение ssh также поддерживает следующие поля для подключения по SSH через HTTP-прокси.

Как провижионеры выполняют удалённые скрипты​

Провижионеры, выполняющие команды в удалённой системе по протоколу, например SSH, обычно загружают в неё файл скрипта, а затем просят оболочку по умолчанию выполнить его. Провижионеры используют этот подход, поскольку он позволяет применять все стандартные методы написания скриптов, поддерживаемые этой оболочкой, включая сохранение значений переменных окружения и другого контекста между инструкциями скрипта.

Однако у такого подхода есть некоторые последствия, которые могут иметь значение в отдельных необычных ситуациях, хотя при обычном использовании это всего лишь деталь реализации.

Самое важное — в удалённой файловой системе должно быть подходящее место, где провижионер сможет создать файл скрипта. По умолчанию OpenTofu выбирает путь со случайным числом, используя следующие шаблоны в зависимости от значения target_platform:

• "unix": /tmp/terraform_%RAND%.sh
• "windows": C:/windows/temp/terraform_%RAND%.cmd

В обоих приведённых выше случаях провижионер заменяет последовательность %RAND% случайно выбранными десятичными цифрами.

Провижионеры не могут напрямую обращаться к переменным окружения удалённой системы, например TMPDIR, или использовать такие функции, как mktemp, поскольку они выполняются в системе, где запущен OpenTofu, а не в удалённой системе. Поэтому, если файловая структура удалённой системы отличается от той, которую предполагают пути по умолчанию, можно переопределить путь с помощью параметра script_path в блоке connection:

connection {
  # ...
  script_path = "H:/tofu-temp/script_%RAND%.sh"
}

Как и в шаблонах по умолчанию, провижионеры заменяют последовательность %RAND% случайно выбранными десятичными цифрами, чтобы снизить вероятность совпадений при одновременном выполнении нескольких провижионеров.

Если на целевой системе работает Windows, рекомендуем использовать прямые косые черты вместо обратных, несмотря на общепринятое соглашение в Windows: в языке OpenTofu обратная косая черта используется для экранирования символов в строках.

Выполнение скриптов с помощью SSH/SCP​

При использовании протокола SSH провижионеры загружают файлы скриптов с помощью протокола безопасного копирования (SCP), для работы которого в удалённой системе должна быть установлена служебная программа scp, выполняющая роль сервера этого протокола.

Провижионеры передают выбранный путь к скрипту (после подстановки %RAND%) непосредственно удалённому процессу scp, который отвечает за его интерпретацию. При стандартной конфигурации scp, поставляемой вместе с OpenSSH, временные скрипты можно размещать в домашнем каталоге удалённого пользователя, указав относительный путь:

connection {
  type = "ssh"
  # ...
  script_path = "tofu_provisioner_%RAND%.sh"
}