2. 自动化基础理论：基础设施即代码(IaC)概念、声明式与命令式配置、幂等性原理

🎯 IaC 三大核心价值

• 可重复性 — 消除“在我机器上能跑”的问题
• 版本控制 — 基础设施变更可追溯、可回滚
• 自动化 — 减少人为错误，提升交付速度

🛠️ 常见 IaC 工具

• Terraform — 多云资源编排
• Ansible — 配置管理与应用部署
• CloudFormation — AWS 原生 IaC
• Pulumi — 使用通用编程语言

🔷 声明式 (Terraform)

resource "aws_security_group" "web_sg" {
  name        = "web-server-sg"
  description = "Allow HTTP and SSH"

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["10.0.0.0/8"]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

✅ 只声明最终状态，Terraform 自动计算差异并执行

🔶 命令式 (Shell 脚本)

#!/bin/bash
# 创建安全组
SG_ID=$(aws ec2 create-security-group \
  --group-name web-server-sg \
  --description "Allow HTTP and SSH" \
  --query 'GroupId' --output text)

# 添加入站规则
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp --port 80 \
  --cidr 0.0.0.0/0

aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp --port 22 \
  --cidr 10.0.0.0/8

# 添加出站规则
aws ec2 authorize-security-group-egress \
  --group-id $SG_ID \
  --protocol all --port all \
  --cidr 0.0.0.0/0

⚠️ 需手动处理“已存在”等异常情况，否则会报错

✅ 幂等实现 (Ansible)

- name: 确保安全配置一致
  hosts: all
  tasks:
    - name: 确保 SELinux 为 enforcing 模式
      selinux:
        policy: targeted
        state: enforcing

    - name: 确保防火墙规则存在
      firewalld:
        service: https
        permanent: yes
        state: enabled

    - name: 确保 SSH 配置安全
      lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^PermitRootLogin'
        line: 'PermitRootLogin no'
        state: present

✅ 无论执行多少次，结果始终一致

❌ 非幂等实现 (Shell)

#!/bin/bash
# 非幂等：每次执行都会追加一行
echo "PermitRootLogin no" >> /etc/ssh/sshd_config

# 非幂等：每次执行都添加规则
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

# 非幂等：直接设置，不检查当前状态
setenforce 1

⚠️ 第二次执行会导致重复行、规则冲突或报错