Настройки подключения провижионера

Провижионеры remote-exec и file обращаются к удалённой системе по протоколу Secure Shell (SSH). Поэтому эти провижионеры необходимо использовать с блоком connection, в котором описывается способ подключения.

Блок подключения​

Можно создать один или несколько блоков connection, описывающих способ доступа к удалённой системе.

Блоки подключения не принимают метку блока и могут быть вложены в блок resource или provisioner.

• Блок connection, вложенный непосредственно в блок resource, влияет на все провижионеры этого ресурса.
• Блок connection, вложенный в блок provisioner, влияет только на этот провижионер и переопределяет любые настройки подключения на уровне ресурса.

Чаще всего блок connection задают на уровне ресурса, но может быть полезно переопределить настройки подключения только для одного провижионера в последовательности. Например, первый провижионер может использовать административный доступ для создания другой учётной записи, а остальные провижионеры — использовать эту новую учётную запись.

Удалённые провижионеры чаще всего используются с недавно созданными серверами, поэтому проверка ключей SSH хоста по умолчанию отключена. Если это неприемлемо, можно задать аргумент host_key, чтобы потребовать использования определённого ключа или сертификата, подписанного определённым центром сертификации.

Пример использования​

provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "/etc/myapp.conf"

  connection {
    user     = "root"
    password = var.root_password
    host     = var.host
  }
}

Справочник по аргументам​

Блок connection поддерживает следующие аргументы.

Настройки подключения можно задавать с помощью эфемерных значений, например атрибутов эфемерных ресурсов и эфемерных входных переменных.

Объект self​

Выражения в блоках connection не могут обращаться к родительскому ресурсу по имени: ссылки создают зависимости, и обращение к ресурсу по имени внутри его собственного блока привело бы к циклической зависимости.

Вместо этого выражения могут использовать объект self, который представляет экземпляр подготавливаемого ресурса и содержит все атрибуты этого объекта. Например, используйте self.public_ip для обращения к атрибуту public_ip объекта aws_instance.

Как провижионеры выполняют удалённые скрипты​

Провижионеры, выполняющие команды в удалённой системе, загружают туда файл скрипта, а затем запускают его с помощью оболочки по умолчанию. Провижионеры используют этот подход, поскольку он позволяет применять все типичные приёмы написания скриптов, поддерживаемые этой оболочкой, включая сохранение значений переменных окружения и другого контекста между инструкциями скрипта.

Однако у этого подхода есть некоторые последствия, которые могут иметь значение в отдельных нестандартных ситуациях, хотя при обычном использовании это всего лишь деталь реализации.

В первую очередь, в удалённой файловой системе должно быть подходящее расположение, где провижионер сможет создать файл скрипта. По умолчанию OpenTofu выбирает путь со случайным числом, используя следующие шаблоны в зависимости от значения target_platform:

• "unix": /tmp/terraform_%RAND%.sh
• "windows": C:/windows/temp/terraform_%RAND%.cmd

В обоих случаях провижионер заменяет последовательность %RAND% случайно выбранными десятичными цифрами.

Провижионеры не могут напрямую обращаться к переменным окружения удалённой системы, например TMPDIR, или использовать такие функции, как mktemp, поскольку они выполняются в системе, где запущен OpenTofu, а не в удалённой системе. Поэтому, если структура файловой системы удалённой системы отличается от той, на которую рассчитаны эти пути по умолчанию, её можно переопределить с помощью параметра script_path в блоке connection:

connection {
  # ...
  script_path = "H:/tofu-temp/script_%RAND%.sh"
}

Как и в шаблонах по умолчанию, провижионеры заменяют последовательность %RAND% случайно выбранными десятичными цифрами, чтобы снизить вероятность конфликтов при одновременном запуске нескольких провижионеров.

Если целевая система работает под управлением Windows, рекомендуем использовать прямые косые черты вместо обратных, несмотря на типичное соглашение для Windows: в языке OpenTofu обратная косая черта используется как символ экранирования в строках.

Провижионеры загружают файлы скриптов с помощью протокола Secure Copy (SCP), для работы которого в удалённой системе должна быть установлена служебная программа scp, выступающая сервером этого протокола.

Провижионеры передают выбранный путь к скрипту (после подстановки %RAND%) непосредственно удалённому процессу scp, который отвечает за его интерпретацию. При конфигурации scp по умолчанию, распространяемой вместе с OpenSSH, временные скрипты можно помещать в домашний каталог удалённого пользователя, указав относительный путь:

connection {
  # ...
  script_path = "tofu_provisioner_%RAND%.sh"
}

Подключения WinRM (устаревшая функция)​

В OpenTofu v1.11 и более ранних версиях можно было подключаться к системам Windows по протоколу WinRM компании Microsoft в качестве альтернативы SSH. Поддержка WinRM объявлена устаревшей в OpenTofu v1.12 и, как ожидается, будет полностью удалена в OpenTofu v1.13.

При использовании WinRM вместо SSH блок connection принимает другие аргументы:

Любой блок connection с аргументом type = "winrm" вызовет предупреждение об устаревании в OpenTofu v1.12 и будет отклонён с ошибкой в OpenTofu v1.13 и более поздних версиях. Пользователям WinRM рекомендуется начать планировать переход на SSH.