2. Terraform 基础回顾：Provider、Resource、Data Source、State 文件的核心概念

在深入制品供应链误差预算台账的编排之前，必须重新校准 Terraform 的四个核心支柱：Provider、Resource、Data Source 和 State 文件。这四个概念构成了所有基础设施即代码（IaC）操作的底层契约，也是后续构建复杂台账系统的语法基础。

2.1 Provider：基础设施的驱动适配器

Provider 是 Terraform 与外部 API 之间的桥梁。每个 Provider 负责将 Terraform 的通用声明式语言翻译成特定平台（如 AWS、Azure、Kubernetes、GitHub）的 API 调用。没有 Provider，Terraform 就无法与任何真实基础设施交互。

2.2 Resource：基础设施的原子单元

Resource 是 Terraform 中最核心的声明式对象。它描述了一个“应该存在”的基础设施组件——一台虚拟机、一个 DNS 记录、一个 IAM 策略、一个 GitHub 分支保护规则。Terraform 通过对比 State 文件中的当前状态与配置中的期望状态，决定是创建、更新还是删除该资源。

# 声明一个 AWS S3 存储桶作为台账制品存储
resource "aws_s3_bucket" "budget_artifacts" {
  bucket = "sre-budget-artifacts-prod"
  tags = {
    Environment = "production"
    ManagedBy   = "terraform"
  }
}

# 声明一个 GitHub 仓库分支保护规则
resource "github_branch_protection" "main" {
  repository_id = github_repository.budget_repo.node_id
  pattern       = "main"

  required_status_checks {
    strict = true
    contexts = ["ci/pipeline-pass"]
  }
}

Resource 的关键行为特征：

• 幂等性：多次 apply 产生相同结果，除非外部手动修改。
• 依赖图：通过隐式引用（resource.attribute）或 depends_on 显式声明执行顺序。
• 生命周期：支持 create_before_destroy、prevent_destroy 等元参数控制更新策略。

2.3 Data Source：基础设施的只读查询器

Data Source 用于从已有基础设施中读取信息，而不创建或修改任何资源。它解决了“如何获取现有资源的属性”这一核心问题，是构建动态配置的关键工具。

# 查询现有 AWS VPC 信息，用于后续资源部署
data "aws_vpc" "selected" {
  tags = {
    Name = "production-vpc"
  }
}

# 在台账服务中使用查询到的 VPC ID
resource "aws_security_group" "budget_sg" {
  name   = "budget-service-sg"
  vpc_id = data.aws_vpc.selected.id
}

2.4 State 文件：基础设施的真实性快照

State 文件是 Terraform 的核心状态数据库，记录了所有被管理资源的当前属性、依赖关系和元数据。它既是 Terraform 判断“做什么”的依据，也是团队协作时防止冲突的锁机制。

2.5 四者协作关系总结

Provider、Resource、Data Source 和 State 文件在 Terraform 执行流程中形成闭环：

1. 初始化阶段：Terraform 根据 required_providers 下载并加载 Provider 插件。
2. 读取阶段：从远程后端拉取 State 文件，同时执行所有 Data Source 查询真实基础设施的当前状态。
3. 计划阶段：对比 State 中的资源属性与 .tf 文件中的期望属性，生成变更计划。
4. 应用阶段：通过 Provider 调用目标 API 执行创建、更新或删除操作，并将结果写回 State 文件。