4. Terraform追踪基础：Terraform Plan与Apply的日志输出、资源变更追踪、状态文件diff分析

在IDP故障域关键路径的追踪中，Terraform的Plan与Apply阶段是基础设施变更的“黑匣子”入口。本章聚焦于如何从日志输出、资源变更明细和状态文件差异三个维度，建立可审计、可回放的追踪基线。只有掌握了这些基础，后续的样本抽检和故障域定位才有数据支撑。

4.1 Terraform Plan 日志输出与变更清单

terraform plan 的输出是变更追踪的第一道防线。它展示了从当前状态到目标状态的增量差异，包括资源的新增、修改和删除。在IDP场景中，我们需要关注日志中的三个关键区域：

4.2 Terraform Apply 日志输出与执行追踪

terraform apply 的日志是变更执行的实时记录。与Plan的“预期”不同，Apply日志反映了实际API调用的结果，包括成功、失败和重试。在IDP故障域追踪中，Apply日志是判断变更是否按预期生效的直接证据。

• 资源创建/修改日志：每行以 module.xxx.resource_type.name: Creating... 或 ...Modifying... 开头，后跟属性变更详情。
• 错误与回滚日志：当API调用失败时，Terraform会输出错误码、HTTP状态和错误描述。部分资源支持部分失败，日志中会明确标记。
• 输出变量：Apply完成后，定义的 output 值会被打印，这些值通常包含连接信息或关键标识符，是追踪链的重要节点。

# 典型 Apply 日志片段（资源创建）
module.vpc.aws_vpc.main: Creating...
  cidr_block:           "" => "10.0.0.0/16"
  enable_dns_support:   "" => "true"
  enable_dns_hostnames: "" => "false"
module.vpc.aws_vpc.main: Creation complete after 3s [id=vpc-0a1b2c3d4e5f67890]

# 典型 Apply 日志片段（资源修改）
module.app.aws_instance.web: Modifying...
  instance_type: "t2.micro" => "t3.small"
module.app.aws_instance.web: Modifications complete after 15s [id=i-0abcdef1234567890]

4.3 状态文件 Diff 分析

Terraform状态文件（terraform.tfstate）是基础设施的真实来源。状态文件diff分析是追踪变更的终极手段，因为它记录了每个资源在两次操作之间的完整属性快照。在IDP故障域中，状态文件diff可以帮助我们回答“到底什么变了”以及“变更是否完整”。

4.4 使用 terraform show 与 jq 进行结构化 Diff

对于IDP的自动化追踪，推荐使用JSON格式的状态文件进行结构化diff。结合 jq 工具，可以精确提取故障域内特定资源的变更细节。

# 步骤1：导出前后状态文件的JSON格式
terraform show -json terraform.tfstate > state_before.json
# 执行 Apply 操作后
terraform show -json terraform.tfstate > state_after.json

# 步骤2：使用 jq 提取特定模块的资源变更
# 提取 module.vpc 下所有资源的变更
jq '.values.root_module.child_modules[] | select(.address=="module.vpc")' state_after.json

# 步骤3：使用 diff 命令对比两个JSON文件
diff <(jq --sort-keys '.resources[] | {address, values}' state_before.json) \
    <(jq --sort-keys '.resources[] | {address, values}' state_after.json)

4.5 日志与状态文件的关联追踪矩阵

将Plan日志、Apply日志和状态文件diff三者关联，可以构建完整的变更追踪矩阵。下表展示了在IDP故障域中，如何利用这三个数据源进行交叉验证：

4.6 实践：构建最小化追踪脚本

以下是一个用于IDP故障域追踪的最小化Shell脚本片段，它整合了Plan输出、Apply日志和状态文件diff的自动化采集：

#!/bin/bash
# IDP Terraform 追踪脚本 - 故障域关键路径采样

TRACKING_DIR="./tracking/$(date +%Y%m%d_%H%M%S)"
mkdir -p "$TRACKING_DIR"

# 1. 记录 Plan 输出
terraform plan -out="$TRACKING_DIR/plan.tfplan" -no-color 2>&1 | tee "$TRACKING_DIR/plan_output.log"
terraform show -json "$TRACKING_DIR/plan.tfplan" > "$TRACKING_DIR/plan.json"

# 2. 备份当前状态文件
cp terraform.tfstate "$TRACKING_DIR/state_before.json"

# 3. 执行 Apply 并记录日志
terraform apply "$TRACKING_DIR/plan.tfplan" -no-color 2>&1 | tee "$TRACKING_DIR/apply_output.log"

# 4. 记录 Apply 后的状态文件
cp terraform.tfstate "$TRACKING_DIR/state_after.json"

# 5. 生成结构化 Diff 报告
echo "=== 状态文件 Diff 报告 ===" > "$TRACKING_DIR/diff_report.txt"
diff <(jq --sort-keys '.resources[] | {address, values}' "$TRACKING_DIR/state_before.json") \
    <(jq --sort-keys '.resources[] | {address, values}' "$TRACKING_DIR/state_after.json") \
    >> "$TRACKING_DIR/diff_report.txt"

echo "追踪数据已保存至: $TRACKING_DIR"