📚 课程目录第4章状态管理（State）

4. 状态管理（State）：State 文件的作用、本地状态、远程状态后端（S3/OSS/Consul）、State 锁定机制

4.1 State 文件的核心作用

Terraform 使用 State 文件（terraform.tfstate） 来记录基础设施资源的实际状态与元数据。它是 Terraform 工作流程中的“真相来源”，决定了每次执行 plan 和 apply 时的增量计算基础。

作用维度	说明
资源映射	将配置中的资源逻辑名称（如 `aws_instance.web`）映射到云平台上的真实资源 ID（如 `i-0abcd1234`）。
性能优化	避免每次 `plan` 都调用云 API 列举全部资源，直接从 State 读取元数据。
依赖解析	记录资源间的隐式依赖关系，确保销毁或重建时按正确顺序执行。
属性引用	允许一个资源引用另一个资源的输出属性（如 `aws_instance.web.public_ip`）。

  关键认知： State 文件不是配置文件的副本，而是基础设施的“快照”。丢失 State 文件会导致 Terraform 无法管理已有资源，只能手动导入或重建。

4.2 本地状态 vs 远程状态

4.2.1 本地状态（Local State）

默认情况下，Terraform 将 State 文件存储在运行目录下的 terraform.tfstate 中。适用于个人开发、单机实验或临时环境。

优点： 零配置、简单直接。
缺点： 无法共享、易丢失、不支持并发锁定。
风险： 多人协作时极易出现 State 覆盖或冲突。

4.2.2 远程状态（Remote State）

将 State 文件存储在共享后端（如 S3、OSS、Consul），实现团队协作与状态持久化。

后端类型	存储位置	锁定支持	适用场景
AWS S3	S3 Bucket + DynamoDB	DynamoDB 实现	AWS 原生团队，最常用
阿里云 OSS	OSS Bucket + Table Store	Table Store 实现	阿里云原生团队
HashiCorp Consul	Consul KV Store	Consul Session 实现	已有 Consul 集群的团队
Terraform Cloud	托管服务	内置	企业级托管方案

最佳实践： 生产环境必须使用远程状态后端，并配合锁定机制。S3 + DynamoDB 是目前社区最成熟的组合。

4.3 远程状态后端配置示例

4.3.1 AWS S3 + DynamoDB

terraform {
  backend "s3" {
    bucket         = "my-company-terraform-state"
    key            = "prod/network/terraform.tfstate"
    region         = "us-east-1"
    encrypt        = true
    dynamodb_table = "terraform-state-lock"
  }
}

4.3.2 阿里云 OSS + Table Store

terraform {
  backend "oss" {
    bucket  = "my-company-tf-state"
    prefix  = "prod/network"
    key     = "terraform.tfstate"
    region  = "cn-hangzhou"
    tablestore_table = "terraform-lock-table"
  }
}

4.3.3 HashiCorp Consul

terraform {
  backend "consul" {
    address = "consul.example.com:8500"
    path    = "terraform/prod/network"
    scheme  = "https"
  }
}

注意： 配置 backend 后必须执行 terraform init 重新初始化工作目录。Terraform 会自动将本地 State 迁移到远程后端。

4.4 State 锁定机制

当多个团队成员或 CI/CD 流水线同时执行 apply 时，State 锁定防止并发写入导致的状态损坏。

工作原理： 在执行 plan 或 apply 前，Terraform 尝试获取锁；获取成功后执行操作，操作完成后释放锁。
锁定后端： 不同的远程后端使用不同的锁定机制（DynamoDB 表项、Consul Session、Table Store 行锁）。
强制解锁： 当锁因网络中断或进程崩溃未释放时，使用 terraform force-unlock <LOCK_ID> 手动解锁。

# 查看当前锁状态
terraform force-unlock <LOCK_ID>

# 强制解锁（谨慎使用）
terraform force-unlock <LOCK_ID> -force

  避坑指南： 不要在生产环境随意使用 force-unlock。先确认没有其他进程正在执行 apply，否则可能导致 State 损坏。

4.5 State 文件架构图

4.6 State 文件操作命令

命令	用途	注意事项
`terraform state list`	列出 State 中管理的所有资源	快速查看当前 State 内容
`terraform state show <ADDRESS>`	查看某个资源的详细属性	用于调试属性引用
`terraform state mv`	重命名或移动资源地址	重构配置时使用
`terraform state rm`	从 State 中移除资源（不销毁）	谨慎使用，移除后 Terraform 不再管理
`terraform import`	将已有资源导入 State	用于接管手动创建的资源

生产建议： 将 State 文件视为敏感资产，开启 S3 Bucket 的版本控制，以便在误操作或损坏时回滚到历史版本。

4.7 本章小结

State 文件是 Terraform 管理基础设施的“真相来源”，必须妥善保护。
本地状态仅适用于单机实验，生产环境必须使用远程状态后端。
S3 + DynamoDB 是最成熟的远程状态方案，支持加密、版本控制和锁定。
State 锁定机制防止并发写入冲突，强制解锁需谨慎。
多环境部署时，通过不同的 State 文件路径（key）实现环境隔离。