Terraform 核心概念回顾

Terraform 是 HashiCorp 推出的基础设施即代码（IaC）工具，通过声明式配置管理云资源和本地服务。在 SLI 口径配置变更场景中，Terraform 负责将 SLI 口径（如 Prometheus 记录规则、Grafana 面板 JSON、自定义告警阈值）以代码形式管理，并通过 CI/CD 管道实现版本化发布。本节回顾 Terraform 的三大核心概念：Provider、Resource、Data Source，以及状态管理和标准工作流。

Provider：基础设施的驱动层

Provider 是 Terraform 与目标平台（云服务商、监控系统、API 网关等）交互的插件。每个 Provider 负责定义资源类型、认证方式和 API 调用逻辑。在 SLI 配置管理中，常见的 Provider 包括：

Resource 与 Data Source：配置的读写单元

Resource 是 Terraform 管理的核心对象，代表“我要创建或管理什么”。每个 Resource 对应目标平台上的一个具体实体，例如一条 Prometheus 记录规则、一个 Grafana 仪表盘。

Data Source 用于读取外部已有数据，不创建或修改任何资源。在 SLI 场景中，Data Source 常用于获取当前生效的口径配置、查询集群状态或读取 Secret 中的认证信息。

# Resource 示例：创建 Prometheus 记录规则
resource "prometheus_rule_group" "sli_burn_rate" {
  name     = "sli-burn-rate"
  interval = "30s"

  rule {
    record = "sli:error_budget_burn_rate:5m"
    expr   = "rate(sli_errors_total[5m]) / rate(sli_total[5m])"
  }
}

# Data Source 示例：读取已有 Grafana 文件夹
data "grafana_folder" "sli_dashboard_folder" {
  title = "SLI Dashboards"
}

# 使用 Data Source 的 ID 创建仪表盘
resource "grafana_dashboard" "sli_overview" {
  folder_id = data.grafana_folder.sli_dashboard_folder.id
  config_json = file("${path.module}/dashboards/sli_overview.json")
}

状态管理：配置的真相来源

Terraform 状态文件（terraform.tfstate）记录了所有被管理资源的当前实际属性。它是 Terraform 判断“需要创建、更新还是删除”的唯一依据。在 SLI 口径配置变更中，状态管理尤为重要：

• 远程状态存储：团队协作时必须使用后端（如 S3、GCS、Terraform Cloud）存储状态，避免本地文件冲突。
• 状态锁定：防止并发 CI/CD 管道同时修改状态导致数据损坏。DynamoDB（AWS）或 Consul 常作为锁后端。
• 敏感数据保护：SLI 口径可能包含 、数据库连接串等敏感信息。使用 sensitive = true 标记输出变量，并启用状态加密。

Terraform 工作流：Init / Plan / Apply

Terraform 的标准工作流是 CI/CD 集成的基础。每个阶段都有明确的输入、输出和检查点：

1. Init：初始化工作目录，下载 Provider 插件、配置后端、加载模块。在 CI 中，terraform init 通常放在管道最前面，且使用 -upgrade=false 锁定版本。
2. Plan：对比当前状态与配置文件的差异，生成执行计划。Plan 阶段不修改任何资源，是 CI 中人工审核或自动审批的关键门禁。
3. Apply：执行 Plan 中的变更操作。在 SLI 配置场景中，Apply 通常需要人工审批（如 GitLab MR 中的 /apply 命令），或通过受保护分支触发。

# CI/CD 管道中的典型 Terraform 命令序列
terraform init \
  -backend-config="bucket=my-sli-tfstate" \
  -backend-config="key=prometheus/sli-rules.tfstate" \
  -backend-config="region=us-east-1"

terraform plan \
  -out=tfplan.binary \
  -var-file="environments/prod.tfvars"

# 人工审核后执行
terraform apply tfplan.binary

工作流在 SLI 配置变更中的实践

将 Terraform 工作流嵌入 CI/CD 管道后，SLI 口径配置变更遵循以下步骤：

• 开发分支：开发人员在 feature 分支修改 .tf 文件（如调整 SLI 阈值、新增记录规则），提交后触发 CI 运行 terraform plan，输出变更预览。
• 合并请求：Plan 结果作为 MR 评论自动发布。审核人确认变更范围（如“只修改了 error_budget 阈值，未影响其他资源”）后批准合并。
• 主分支：合并到 main 分支后，CI 自动执行 terraform apply，将 SLI 口径配置推送到生产环境。Apply 成功后，状态文件更新，口径配置进入版本管理。