使用 Terraform 进行基础设施即代码

基础设施即代码简介

基础设施即代码 (IaC) 是一种通过机器可读的定义文件来管理和配置基础设施的实践，而不是通过物理硬件配置或交互式配置工具。Terraform 是 HashiCorp 的开源 IaC 工具，它允许您在人类可读的配置文件中定义资源，您可以对这些文件进行版本控制、重用和共享。

Terraform 的主要优势

声明式方法：您定义基础设施的期望最终状态
云无关：适用于多个提供商（AWS、Azure、GCP 等）
版本控制：基础设施定义可以像应用程序代码一样进行版本控制
可重用性：模块允许在项目之间重用代码
状态管理：跟踪已创建的资源及其依赖项

Terraform 架构和工作流程

Terraform 工作流程图

来源：topics/terraform/README.md94-103

核心 Terraform 组件

来源：topics/terraform/README.md230-234 topics/terraform/README.md800-816

核心概念

资源和提供商

Terraform 使用提供商与云平台、服务和 API 进行交互。资源是 Terraform 中最重要的元素，代表虚拟网络、计算实例或 DNS 记录等基础设施对象。

示例资源定义

在此示例中

aws_instance 是资源类型
example 是资源名称（供 Terraform 内部引用）
块的内容配置特定的资源

来源：topics/terraform/README.md62-65 topics/terraform/README.md127-140

提供商配置

Terraform 需要在使用 terraform init 对提供商进行初始化。

来源：topics/terraform/README.md267-306

依赖项

Terraform 会自动处理资源之间的依赖关系。例如，EC2 实例可能依赖于 VPC 和安全组。您还可以使用 depends_on 元参数显式定义依赖关系。

可以使用 <PROVIDER_TYPE>.<NAME>.<ATTRIBUTE> 语法引用其他资源的属性。

来源：topics/terraform/README.md192-211

Terraform 状态

状态是 Terraform 中的一个关键概念。它将您的配置文件中定义的资源映射到真实世界的资源并跟踪元数据。默认情况下，状态文件存储在本地，名为 terraform.tfstate，但可以将其配置为使用远程后端以实现团队协作。

状态文件结构

来源：topics/terraform/README.md800-823

远程后端配置

对于团队环境，建议使用远程后端

来源：topics/terraform/README.md883-913

状态命令

命令	描述
`terraform state list`	列出状态中的资源
`terraform state show <resource>`	显示特定资源的详细信息
`terraform state mv <source> <dest>`	在状态中移动资源
`terraform state rm <resource>`	从状态中移除资源
`terraform import <resource> <id>`	导入现有资源

来源：topics/terraform/README.md974-999

变量和数据类型

输入变量

输入变量充当 Terraform 模块的参数。

来源：topics/terraform/README.md362-403

输出变量

输出变量提取资源的返回值。

来源：topics/terraform/README.md442-465

本地变量

Locals 类似于变量，但不能从外部传入。

来源：topics/terraform/README.md467-495

高级 Terraform 功能

数据源

数据源允许 Terraform 获取和使用 Terraform 外部定义的信息，或由另一个 Terraform 配置定义的信息。

来源：topics/terraform/README.md606-660

循环和条件

Terraform 支持多种循环类型

使用 count

使用 for_each

来源：topics/terraform/README.md1069-1245

条件表达式

来源：topics/terraform/README.md1283-1337

Terraform 模块

模块是多个资源组合在一起的容器。它们允许您创建可重用的组件并组织 Terraform 代码。

模块结构

来源：topics/terraform/README.md1403-1419

使用模块

来源：topics/terraform/README.md1472-1497

模块来源

模块可以从各种来源加载

本地路径
GitHub 仓库
Terraform Registry
S3 存储桶
HTTP URL

来源：topics/terraform/README.md1439-1449

实际示例：S3 存储桶管理

让我们看看如何使用 Terraform 管理 AWS S3 存储桶。

创建 S3 存储桶

重命名 S3 存储桶

由于 AWS 中的 S3 存储桶名称是不可变的，重命名存储桶需要创建一个新存储桶并迁移内容。这是流程

创建新存储桶
将内容从旧存储桶同步到新存储桶
更新 Terraform 状态以跟踪新存储桶
删除旧存储桶

来源：topics/terraform/exercises/s3_bucket_rename/exercise.md1-22 topics/terraform/exercises/s3_bucket_rename/solution.md1-65

最佳实践

状态管理

为团队协作远程存储状态
启用远程状态存储上的版本控制
使用状态锁定防止并发操作
不要手动编辑状态文件
定期备份状态文件

来源：topics/terraform/README.md851-869

安全考量

不要在 Terraform 文件中存储敏感数据
使用环境变量或安全的秘密管理工具
小心状态文件，因为它们可能包含敏感信息
为远程状态后端使用适当的访问控制

来源: topics/terraform/README.md1705-1781

代码组织

生产环境推荐项目结构

terraform_project/
  ├── environments/
  │   ├── dev/
  │   ├── staging/
  │   └── prod/
  ├── modules/
  │   ├── vpc/
  │   ├── compute/
  │   └── database/
  └── scripts/

Terraform 项目中的常见文件

main.tf - 主要资源定义
variables.tf - 输入变量声明
outputs.tf - 输出定义
providers.tf - 提供程序配置
versions.tf - Terraform 和提供程序版本约束

来源: topics/terraform/README.md1787-1831

CI/CD 中的 Terraform 工作流

对于团队环境，请考虑实施此工作流

开发人员提交包含 Terraform 更改的 PR
CI 流水线运行 terraform validate 和 terraform plan
代码审查包括审查 plan 输出
批准后，CI/CD 流水线运行 terraform apply
状态存储在安全的远程后端

此方法确保所有基础设施更改在应用前都经过审查，并提供审计跟踪。