Настройки подключения провиженера

Большинству провиженеров требуется доступ к удалённому ресурсу через SSH или WinRM, и они ожидают вложенный блок connection с параметрами подключения.

Блок подключения​

Можно создать один или несколько блоков connection, описывающих способ доступа к удалённому ресурсу. Например, сначала провиженер может подключиться как пользователь root, чтобы настроить учётные записи, а последующие провиженеры — как пользователь с более ограниченными правами.

Блоки подключения не принимают метку и могут быть вложены в resource или provisioner.

• Блок connection, непосредственно вложенный в resource, применяется ко всем провиженерам этого ресурса.
• Блок connection, вложенный в блок provisioner, применяется только к этому провиженеру и переопределяет все настройки подключения на уровне ресурса.

Поскольку тип подключения SSH чаще всего используется с недавно созданными удалёнными ресурсами, проверка ключей хоста SSH по умолчанию отключена. Если это неприемлемо, можно настроить отдельный механизм распространения ключей и явно задать аргумент host_key (подробности ниже), чтобы проверять соединение с конкретным ключом или центром сертификации подписи.

Пример использования​

# Copies the file as the root user using SSH
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "/etc/myapp.conf"

  connection {
    type     = "ssh"
    user     = "root"
    password = "${var.root_password}"
    host     = "${var.host}"
  }
}

# Copies the file as the Administrator user using WinRM
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "C:/App/myapp.conf"

  connection {
    type     = "winrm"
    user     = "Administrator"
    password = "${var.admin_password}"
    host     = "${var.host}"
  }
}

Объект self​

Выражения в блоках connection не могут ссылаться на родительский ресурс по имени. Ссылки создают зависимости, а ссылка на ресурс по имени внутри его собственного блока привела бы к циклической зависимости. Вместо этого в выражениях можно использовать объект self, который представляет родительский ресурс подключения и содержит все атрибуты этого ресурса. Например, используйте self.public_ip, чтобы сослаться на атрибут public_ip ресурса aws_instance.

Описание аргументов​

Блок connection поддерживает следующие аргументы. Некоторые аргументы поддерживаются только типом подключения SSH или WinRM.

Использование эфемерных значений​

Этот тип блока можно настроить с помощью эфемерных значений, таких как переменные, выходные значения и даже атрибуты эфемерных ресурсов.

Подключение через бастионный хост с помощью SSH​

Подключение ssh также поддерживает следующие аргументы для непрямого подключения через бастионный хост.

Подключение через HTTP-прокси с помощью SSH​

Подключение ssh также поддерживает следующие поля для подключения по SSH через HTTP-прокси.

Как провиженеры выполняют удалённые скрипты​

Провиженеры, выполняющие команды в удалённой системе через такие протоколы, как SSH, обычно загружают на удалённую систему файл скрипта, а затем запускают его с помощью оболочки по умолчанию. Провиженеры используют этот способ, поскольку он позволяет применять все стандартные приёмы написания скриптов, поддерживаемые этой оболочкой, в том числе сохранять значения переменных среды и другой контекст между инструкциями скрипта.

Однако у такого подхода есть последствия, которые могут иметь значение в некоторых нестандартных ситуациях, хотя при обычном использовании это лишь деталь реализации.

Прежде всего, в удалённой файловой системе должно быть подходящее место, где провиженер сможет создать файл скрипта. По умолчанию OpenTofu выбирает путь со случайным числом, используя следующие шаблоны в зависимости от значения target_platform:

• "unix": /tmp/terraform_%RAND%.sh
• "windows": C:/windows/temp/terraform_%RAND%.cmd

В обоих случаях провиженер заменяет последовательность %RAND% случайно выбранными десятичными цифрами.

Провиженеры не могут напрямую обращаться к переменным среды удалённой системы, таким как TMPDIR, или использовать функции вроде mktemp, поскольку они выполняются в системе, где запущен OpenTofu, а не в удалённой системе. Поэтому, если файловая структура удалённой системы отличается от ожидаемой для этих путей по умолчанию, можно переопределить путь с помощью параметра script_path в блоке connection:

connection {
  # ...
  script_path = "H:/tofu-temp/script_%RAND%.sh"
}

Как и в шаблонах по умолчанию, провиженеры заменяют последовательность %RAND% случайно выбранными десятичными цифрами, чтобы снизить вероятность конфликтов между несколькими провиженерами, выполняющимися одновременно.

Если на целевой системе работает Windows, рекомендуем использовать прямые косые черты вместо обратных, несмотря на общепринятое в Windows соглашение: в языке OpenTofu обратная косая черта используется для экранирования символов в строках.

Выполнение скриптов с помощью SSH/SCP​

При использовании протокола SSH провиженеры загружают файлы скриптов с помощью протокола Secure Copy Protocol (SCP). Для этого в удалённой системе должна быть установлена служебная программа scp, выполняющая роль сервера этого протокола.

Провиженеры передают выбранный путь к скрипту (после подстановки %RAND%) непосредственно удалённому процессу scp, который отвечает за его интерпретацию. При конфигурации scp по умолчанию, поставляемой вместе с OpenSSH, временные скрипты можно размещать в домашнем каталоге удалённого пользователя, указав относительный путь:

connection {
  type = "ssh"
  # ...
  script_path = "tofu_provisioner_%RAND%.sh"
}