Через -var='name=value', -var-file=env.tfvars или переменные окружения TF_VAR_name; это перекрывает defaults и часто tfvars.
Разбор
- Для секретов предпочтительнее env/CI secrets, не argv в логах.
- Сложные типы — JSON в
-var.
- Документируйте обязательные variables без default.
- Одинаковые имена в нескольких файлах — действуйте приоритетам.
Итог
CLI/env дают значения на прогон без правки кода.