Настройки подключения провижионера

Большинству провижионеров требуется доступ к удаленному ресурсу через SSH или WinRM, и они ожидают вложенный блок connection с данными о подключении.

Блок подключения​

Можно создать один или несколько блоков connection с описанием доступа к удаленному ресурсу. Например, можно указать несколько подключений, чтобы первоначальный провижионер подключался как пользователь root для настройки учетных записей, а последующие провижионеры подключались как пользователь с более ограниченными разрешениями.

Блоки подключения не принимают метку блока и могут быть вложены в блок resource или provisioner.

• Блок connection, вложенный непосредственно в блок resource, влияет на все провижионеры этого ресурса.
• Блок connection, вложенный в блок provisioner, влияет только на этот провижионер и переопределяет любые настройки подключения на уровне ресурса.

Поскольку тип подключения SSH чаще всего используется с недавно созданными удаленными ресурсами, проверка ключей хоста SSH по умолчанию отключена. Если это неприемлемо, можно настроить отдельный механизм распространения ключей и явно задать аргумент host_key (подробности ниже), чтобы проверять подключение по определенному ключу или подписывающему центру сертификации.

Пример использования​

# Copies the file as the root user using SSH
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "/etc/myapp.conf"

  connection {
    type     = "ssh"
    user     = "root"
    password = "${var.root_password}"
    host     = "${var.host}"
  }
}

# Copies the file as the Administrator user using WinRM
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "C:/App/myapp.conf"

  connection {
    type     = "winrm"
    user     = "Administrator"
    password = "${var.admin_password}"
    host     = "${var.host}"
  }
}

Объект self​

Выражения в блоках connection не могут ссылаться на родительский ресурс по имени. Ссылки создают зависимости, и ссылка на ресурс по имени внутри его собственного блока создала бы цикл зависимостей. Вместо этого в выражениях можно использовать объект self, который представляет родительский ресурс подключения и содержит все атрибуты этого ресурса. Например, используйте self.public_ip, чтобы обратиться к атрибуту public_ip ресурса aws_instance.

Справочник аргументов​

Блок connection поддерживает следующие аргументы. Некоторые аргументы поддерживаются только для типа подключения SSH или WinRM.

Подключение через бастионный хост по SSH​

Подключение ssh также поддерживает следующие аргументы для косвенного подключения через бастионный хост.

Подключение через HTTP-прокси по SSH​

Подключение ssh также поддерживает следующие поля для подключения по SSH через HTTP-прокси.

Как провижионеры выполняют удаленные сценарии​

Провижионеры, выполняющие команды в удаленной системе по такому протоколу, как SSH, обычно загружают файл сценария в удаленную систему, а затем поручают оболочке по умолчанию выполнить его. Провижионеры используют этот подход, поскольку он позволяет применять все стандартные приемы написания сценариев, поддерживаемые этой оболочкой, включая сохранение значений переменных среды и другого контекста между инструкциями сценария.

Однако у этого подхода есть некоторые последствия, которые могут иметь значение в отдельных необычных ситуациях, несмотря на то, что при обычном использовании это лишь деталь реализации.

Важнее всего то, что в удаленной файловой системе должно быть подходящее место, где провижионер сможет создать файл сценария. По умолчанию OpenTofu выбирает путь, содержащий случайное число, используя следующие шаблоны в зависимости от значения target_platform:

• "unix": /tmp/terraform_%RAND%.sh
• "windows": C:/windows/temp/terraform_%RAND%.cmd

В обоих приведенных выше случаях провижионер заменяет последовательность %RAND% случайно выбранными десятичными цифрами.

Провижионеры не могут напрямую использовать переменные среды удаленной системы, например TMPDIR, или такие функции, как mktemp, поскольку они выполняются в системе, где запущен OpenTofu, а не в удаленной системе. Поэтому, если файловая структура удаленной системы отличается от той, на которую рассчитаны пути по умолчанию, ее можно переопределить с помощью параметра script_path в блоке connection:

connection {
  # ...
  script_path = "H:/tofu-temp/script_%RAND%.sh"
}

Как и в шаблонах по умолчанию, провижионеры заменяют последовательность %RAND% случайно выбранными десятичными цифрами, чтобы снизить вероятность конфликтов при одновременном запуске нескольких провижионеров.

Если целевая система работает под управлением Windows, рекомендуется использовать косые черты вместо обратных, несмотря на то что в Windows обычно принято обратное: в языке OpenTofu обратная косая черта используется для экранирования символов в строках.

Выполнение сценариев с помощью SSH/SCP​

При использовании протокола SSH провижионеры загружают файлы сценариев с помощью протокола безопасного копирования (SCP), для работы которого в удаленной системе должна быть установлена служебная программа scp, выступающая сервером этого протокола.

Провижионеры передают выбранный путь к сценарию (после подстановки %RAND%) непосредственно удаленному процессу scp, который отвечает за его интерпретацию. При стандартной конфигурации scp, поставляемой вместе с OpenSSH, можно размещать временные сценарии в домашнем каталоге удаленного пользователя, указав относительный путь:

connection {
  type = "ssh"
  # ...
  script_path = "tofu_provisioner_%RAND%.sh"
}