プロビジョナー接続設定

ほとんどのプロビジョナーは、SSHまたはWinRMを介してリモートリソースにアクセスする必要があり、接続方法の詳細を含むネストされたconnectionブロックを想定しています。

接続ブロック​

リモートリソースへのアクセス方法を記述するconnectionブロックを1つ以上作成できます。複数の接続を提供するユースケースの1つは、最初のプロビジョナーがrootユーザーとして接続してユーザーアカウントを設定し、後続のプロビジョナーがより制限された権限を持つユーザーとして接続することです。

接続ブロックはブロックラベルを受け取らず、resourceまたはprovisionerのいずれかにネストできます。

• resource内に直接ネストされたconnectionブロックは、そのリソースのすべてのプロビジョナーに影響します。
• provisionerブロックにネストされたconnectionブロックは、そのプロビジョナーのみに影響し、リソースレベルの接続設定をオーバーライドします。

SSH接続タイプは、新しく作成されたリモートリソースで最もよく使用されるため、SSHホストキーの検証はデフォルトで無効になっています。これが受け入れられない場合は、鍵配布のための別のメカニズムを確立し、特定の鍵または署名CAに対して検証するためにhost_key引数（詳細は下記）を明示的に設定できます。

使用例​

# Copies the file as the root user using SSH
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "/etc/myapp.conf"

  connection {
    type     = "ssh"
    user     = "root"
    password = "${var.root_password}"
    host     = "${var.host}"
  }
}

# Copies the file as the Administrator user using WinRM
provisioner "file" {
  source      = "conf/myapp.conf"
  destination = "C:/App/myapp.conf"

  connection {
    type     = "winrm"
    user     = "Administrator"
    password = "${var.admin_password}"
    host     = "${var.host}"
  }
}

selfオブジェクト​

connectionブロック内の式は、親リソースを名前で参照することはできません。参照は依存関係を作成し、自身のブロック内でリソースを名前で参照すると依存関係の循環が発生します。代わりに、式はselfオブジェクトを使用できます。これは接続の親リソースを表し、そのリソースのすべての属性を持ちます。たとえば、aws_instanceのpublic_ip属性を参照するにはself.public_ipを使用します。

引数リファレンス​

connectionブロックは、次の引数をサポートしています。一部の引数は、SSHまたはWinRM接続タイプのいずれかでのみサポートされています。

SSHを使用した踏み台ホスト経由での接続​

ssh接続では、踏み台ホストを介して間接的に接続するための以下の引数もサポートしています。

SSHを使用したHTTPプロキシ経由での接続​

ssh接続は、HTTPプロキシ経由でのSSHによる接続を容易にするために、以下のフィールドもサポートしています。

プロビジョナーがリモートスクリプトを実行する方法​

SSHなどのプロトコルを介してリモートシステムでコマンドを実行するプロビジョナーは、通常、スクリプトファイルをリモートシステムにアップロードし、デフォルトのシェルにそれを実行するように要求することでこれを実現します。プロビジョナーがこの戦略を使用するのは、スクリプトステートメント間で環境変数の値やその他のコンテキストを保持するなど、そのシェルでサポートされている一般的なスクリプト手法をすべて使用できるようになるためです。

ただし、このアプローチには、通常の使用では単なる実装の詳細であるにもかかわらず、いくつかの異常な状況で関連する可能性のあるいくつかの結果があります。

最も重要なことは、プロビジョナーがスクリプトファイルを作成できるリモートファイルシステム内に適切な場所が必要であることです。デフォルトでは、OpenTofuはtarget_platformの設定方法に応じて、次のパターンを使用して乱数を含むパスを選択します。

• "unix": /tmp/terraform_%RAND%.sh
• "windows": C:/windows/temp/terraform_%RAND%.cmd

上記のどちらの場合も、プロビジョナーはシーケンス%RAND%をランダムに選択された10進数に置き換えます。

プロビジョナーは、TMPDIRなどのリモート環境変数に直接反応したり、mktempのような関数を使用したりすることはできません。これらは、リモートシステムではなく、OpenTofuが実行されているシステムで実行されるためです。したがって、リモートシステムがこれらのデフォルトパスで想定されるファイルシステムレイアウトを使用していない場合は、connectionブロックのscript_pathオプションを使用してオーバーライドできます。

connection {
  # ...
  script_path = "H:/tofu-temp/script_%RAND%.sh"
}

デフォルトパターンと同様に、プロビジョナーは、複数のプロビジョナーが同時に実行される間の衝突の可能性を減らすために、シーケンス%RAND%をランダムに選択された10進数に置き換えます。

ターゲットシステムがWindowsを実行している場合は、Windowsの一般的な慣例にもかかわらず、バックスラッシュの代わりにスラッシュを使用することをお勧めします。これは、OpenTofu言語がバックスラッシュを引用符付き文字列のエスケープ文字として使用するためです。

SSH/SCPを使用したスクリプトの実行​

SSHプロトコルを使用する場合、プロビジョナーはSecure Copy Protocol（SCP）を使用してスクリプトファイルをアップロードします。そのためには、リモートシステムにそのプロトコルのサーバーとして機能するscpサービスプログラムがインストールされている必要があります。

プロビジョナーは、選択されたスクリプトパス（%RAND%展開後）をリモートのscpプロセスに直接渡します。これは、スクリプトパスの解釈を担当します。OpenSSHで配布されているデフォルトのscp構成では、相対パスを指定することで、リモートユーザーのホームディレクトリに一時スクリプトを配置できます。

connection {
  type = "ssh"
  # ...
  script_path = "tofu_provisioner_%RAND%.sh"
}