2. Terraform 基础回顾：Provider、Resource、Data Source、State、Plan/Apply 核心概念

在深入服务目录冷启动的资源边界设计之前，必须重新校准 Terraform 的核心执行模型。本章不追求面面俱到，而是聚焦于与资源边界、审批记录、目录封装直接相关的五个概念：Provider（提供者）、Resource（资源）、Data Source（数据源）、State（状态）和 Plan/Apply（计划/应用）。

2.1 Provider：基础设施的“驱动程序”

Provider 是 Terraform 与目标平台（云、Kubernetes、SaaS）之间的适配层。每个 Provider 负责定义资源类型、执行 API 调用、管理认证与重试逻辑。

# 标准 Provider 声明示例
terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

provider "aws" {
  region = var.aws_region
  # 认证通过环境变量 AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY 注入
}

2.2 Resource：基础设施的“原子单元”

Resource 是 Terraform 管理的核心对象，对应云平台中的一个具体实体：一台虚拟机、一个存储桶、一条安全组规则。每个 Resource 由 资源类型 和 本地名称 唯一标识。

# 资源定义语法
resource "aws_s3_bucket" "catalog_artifacts" {
  bucket = "my-catalog-artifacts-${var.environment}"
  tags = {
    Name        = "Catalog Artifacts"
    Environment = var.environment
  }
}

Resource 的关键属性包括：

• arguments（参数）：定义资源的期望状态，如实例类型、磁盘大小。
• attributes（属性）：资源创建后由 Provider 返回的只读值，如 arn、id。
• meta-arguments（元参数）：count、for_each、depends_on、provider、lifecycle。

2.3 Data Source：读取外部状态

Data Source 用于查询基础设施的现有状态，而不创建或修改任何资源。它在服务目录中扮演“环境感知”角色：读取已有 VPC ID、获取最新 AMI、查询 TLS 证书。

# 查询现有 VPC
data "aws_vpc" "shared" {
  tags = {
    Environment = "shared"
  }
}

# 在资源中引用数据源
resource "aws_subnet" "app" {
  vpc_id     = data.aws_vpc.shared.id
  cidr_block = "10.0.1.0/24"
}

2.4 State：基础设施的“真相来源”

State 文件是 Terraform 的核心状态数据库，记录每个 Resource 的当前状态、元数据、依赖关系。在服务目录冷启动场景中，State 的设计直接决定资源边界能否独立管理。

# State 文件中的资源记录（简化 JSON 结构）
{
  "version": 4,
  "resources": [
    {
      "mode": "managed",
      "type": "aws_s3_bucket",
      "name": "catalog_artifacts",
      "provider": "provider[\"registry.terraform.io/hashicorp/aws\"]",
      "instances": [
        {
          "attributes": {
            "bucket": "my-catalog-artifacts-prod",
            "arn": "arn:aws:s3:::my-catalog-artifacts-prod"
          }
        }
      ]
    }
  ]
}

2.5 Plan/Apply：变更的“预览与执行”

Plan 和 Apply 是 Terraform 的工作流引擎。Plan 生成执行计划，Apply 执行计划并更新 State。在服务目录中，Plan 阶段是审批记录的核心捕获点。

# Plan 输出关键信息示例
Terraform will perform the following actions:

  # aws_s3_bucket.catalog_artifacts will be created
  + resource "aws_s3_bucket" "catalog_artifacts" {
      + bucket = "my-catalog-artifacts-prod"
      + arn    = (known after apply)
      + tags   = {
          + "Environment" = "prod"
        }
    }

Plan: 1 to add, 0 to change, 0 to destroy.

2.6 核心概念关系图

下图展示了 Provider、Resource、Data Source、State、Plan/Apply 之间的协作关系，以及它们在服务目录冷启动中的位置。

2.7 冷启动中的概念映射

将上述五个核心概念映射到服务目录冷启动流程，形成以下对应关系：