3. Provider 与资源管理

Provider 是 Terraform 与外部基础设施交互的核心桥梁，负责将 API 调用抽象为声明式资源。本章深入剖析 Provider 的工作原理、多 Provider 配置策略、资源依赖解析机制以及资源生命周期的完整管理流程，帮助你在模块化设计中建立稳健的 Provider 治理体系。

3.1 Provider 核心概念与配置

Provider 本质上是一个插件，它实现了对特定基础设施平台（如 AWS、Azure、vSphere）的 API 映射。每个 Provider 定义了一组资源类型和数据源，Terraform 通过 Provider 完成资源的创建、读取、更新、删除（CRUD）操作。

3.2 多 Provider 配置策略

在实际项目中，经常需要同时管理多个云平台、多个区域或多个账号。Terraform 通过 Provider 别名（alias） 机制支持在同一配置中定义多个 Provider 实例。

3.2.1 基础多 Provider 配置

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

# 默认 Provider（未指定 alias）
provider "aws" {
  region = "us-east-1"
}

# 别名 Provider
provider "aws" {
  alias  = "west"
  region = "us-west-2"
}

# 使用别名 Provider 创建资源
resource "aws_instance" "web_west" {
  provider = aws.west
  ami      = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.micro"
}

3.2.2 跨 Provider 资源编排

当需要同时操作 AWS 和 Azure 资源时，只需在 required_providers 中声明多个 Provider，并在资源块中通过 provider 参数显式指定。

3.3 资源依赖解析

Terraform 通过分析资源之间的引用关系自动构建依赖图，确保资源按正确顺序创建、更新或销毁。理解依赖机制是避免并行执行冲突的关键。

3.3.1 隐式依赖

当资源 A 的某个属性引用了资源 B 的输出时，Terraform 自动创建隐式依赖。

resource "aws_security_group" "web_sg" {
  name = "web-sg"
  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

# 隐式依赖：aws_instance.web 依赖 aws_security_group.web_sg
resource "aws_instance" "web" {
  ami               = "ami-0c55b159cbfafe1f0"
  instance_type     = "t3.micro"
  vpc_security_group_ids = [aws_security_group.web_sg.id]
}

3.3.2 显式依赖

当资源之间存在逻辑依赖但无直接属性引用时，使用 depends_on 显式声明。

resource "aws_s3_bucket" "data" {
  bucket = "my-app-data-bucket"
}

resource "aws_s3_bucket_object" "config" {
  bucket = aws_s3_bucket.data.id
  key    = "config.json"
  source = "./config.json"
}

# 显式依赖：确保 DNS 记录在负载均衡器完全就绪后创建
resource "aws_route53_record" "app" {
  zone_id = "Z123456"
  name    = "app.example.com"
  type    = "A"
  alias {
    name                   = aws_lb.app.dns_name
    zone_id                = aws_lb.app.zone_id
    evaluate_target_health = true
  }
  depends_on = [aws_lb_target_group_attachment.app]
}

3.4 资源生命周期管理

Terraform 为每个资源提供了完整的生命周期钩子，允许你精细控制资源的创建、更新、销毁行为。生命周期配置块 lifecycle 是模块化设计中保证环境一致性的重要工具。

3.4.1 生命周期元参数

3.4.2 典型生命周期配置示例

resource "aws_db_instance" "production" {
  engine         = "mysql"
  engine_version = "8.0"
  instance_class = "db.r5.large"
  allocated_storage = 100

  lifecycle {
    # 阻止意外删除生产数据库
    prevent_destroy = true

    # 忽略自动备份窗口的手动调整
    ignore_changes = [
      backup_window,
      maintenance_window,
    ]

    # 先创建新实例再销毁旧实例，确保零停机
    create_before_destroy = true
  }
}

resource "aws_launch_template" "app" {
  name_prefix   = "app-template-"
  image_id      = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.medium"

  lifecycle {
    # 当 AMI ID 变化时触发实例替换
    replace_triggered_by = [
      aws_ami_copy.app_ami.id
    ]
  }
}

3.4.3 生命周期与模块化设计

在模块中合理使用生命周期配置，可以显著提升环境一致性。例如，在基础网络模块中设置 prevent_destroy 防止 VPC 被误删；在计算模块中使用 create_before_destroy 确保滚动更新不中断服务。

3.5 Provider 与资源管理架构图

下图展示了 Provider 配置、资源依赖解析和生命周期管理的整体架构关系：

3.6 资源生命周期状态转换

理解资源在不同操作下的状态转换，有助于诊断部署问题和设计回滚策略。下图展示了资源从创建到销毁的完整状态机：

3.7 常见陷阱与避坑指南

• Provider 版本漂移：不同环境使用不同 Provider 版本可能导致行为差异。始终在 required_providers 中锁定主版本号，并使用版本约束 ~> 5.0 而非 >= 5.0。
• 隐式依赖遗漏：当资源通过数据源（data source）引用其他资源时，Terraform 不会自动创建依赖。需要手动添加 depends_on 确保数据源在目标资源创建后刷新。
• 生命周期冲突：create_before_destroy 与 prevent_destroy 同时配置时，如果新资源创建失败，旧资源不会被销毁，可能导致资源泄漏。建议在关键资源上优先使用 prevent_destroy。
• 模块内 Provider 传递：子模块不会自动继承父模块的 Provider 别名。必须在模块调用时显式传递 providers 参数，否则 Terraform 会使用默认 Provider 实例。