2. Terraform 基础回顾：Provider 配置、资源声明、变量与输出、状态文件管理

在构建制品供应链误差预算台账的配置基线同步之前，必须牢固掌握 Terraform 的核心基础。本章将系统回顾 Provider 配置、资源声明、变量与输出、状态文件管理四大支柱，为后续的复杂自动化场景奠定坚实的技术底座。

2.1 Provider 配置：基础设施的驱动引擎

Provider 是 Terraform 与目标基础设施平台（如 AWS、Azure、GitHub、Kubernetes）之间的桥梁。每个 Provider 负责定义一组资源类型和数据源，并通过 API 调用实现声明式管理。

配置要素 说明 示例
source Provider 的注册地址，格式为 registry.terraform.io/命名空间/类型 hashicorp/aws
version 指定 Provider 版本约束，确保可复现性 ~> 5.0
required_providers 在 terraform 块中声明所有依赖的 Provider 嵌套 source 和 version
provider 块 实例化 Provider 并传入认证参数、区域等配置 provider "aws" { region = "us-east-1" }
最佳实践：始终在 terraform { required_providers {} } 中锁定 Provider 版本，避免因 Provider 升级导致配置漂移。对于制品供应链场景，建议同时配置 GitHub Provider（管理仓库与 Actions）和 AWS Provider（管理 S3 制品存储）。 
# 典型的 Provider 配置示例
terraform {
  required_version = ">= 1.5"
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
    github = {
      source  = "integrations/github"
      version = "~> 6.0"
    }
  }
}

provider "aws" {
  region = var.aws_region
}

provider "github" {
   = var.github_
  owner = var.github_owner
}

2.2 资源声明：定义期望状态

资源是 Terraform 的核心抽象，用于声明基础设施组件。每个资源块包含资源类型、本地名称和一组配置参数。Terraform 通过比较声明状态与真实状态，自动生成执行计划。

  • 资源语法：resource "<资源类型>" "<本地名称>" { ... }
  • 资源类型：由 Provider 定义，例如 aws_s3_bucket、github_repository
  • 本地名称：在同一模块内唯一，用于资源引用（资源类型.本地名称.属性）
  • 参数引用：支持直接引用其他资源的输出属性，形成依赖图
供应链场景示例：声明一个 S3 制品存储桶和一个 GitHub 仓库，通过 depends_on 或隐式引用确保创建顺序。 
# 声明 S3 存储桶用于存放制品
resource "aws_s3_bucket" "artifacts" {
  bucket = "supply-chain-artifacts-${var.environment}"
  tags = {
    Name        = "Artifact Storage"
    Environment = var.environment
  }
}

# 声明 GitHub 仓库用于存放供应链配置
resource "github_repository" "config_repo" {
  name        = "error-budget-config"
  description = "误差预算台账配置基线仓库"
  visibility  = "private"
  auto_init   = true
}

2.3 变量与输出：参数化与数据传递

变量（Variable）使配置可复用、可参数化；输出（Output）则暴露关键信息供其他模块或外部系统消费。两者共同构成 Terraform 配置的接口层。

概念 作用 定义方式 使用方式
Input Variable 接收外部传入的参数 variable "name" { type = string } var.name
Local Value 在模块内计算中间值 locals { key = expression } local.key
Output Value 暴露资源属性给调用方 output "id" { value = ... } module.xxx.output_name
注意：敏感信息（如 、密码）应标记为 sensitive = true，避免在日志和状态文件中明文暴露。在误差预算台账场景中，GitHub 和云服务密钥必须使用敏感变量。 
# 变量定义
variable "environment" {
  description = "部署环境（dev/staging/prod）"
  type        = string
  validation {
    condition     = contains(["dev", "staging", "prod"], var.environment)
    error_message = "环境必须为 dev、staging 或 prod。"
  }
}

variable "github_" {
  description = "GitHub 个人访问令牌"
  type        = string
  sensitive   = true
}

# 输出定义
output "bucket_arn" {
  description = "制品存储桶的 ARN"
  value       = aws_s3_bucket.artifacts.arn
}

output "config_repo_clone_url" {
  description = "配置仓库的克隆地址"
  value       = github_repository.config_repo.clone_url
}

2.4 状态文件管理：配置基线的真相来源

Terraform 状态文件（terraform.tfstate）记录了已管理资源的真实世界映射。它是配置基线的“真相来源”，直接影响增量更新的正确性。

核心原则：状态文件是敏感资产，必须安全存储、支持并发锁定、支持版本历史。在团队协作中，禁止将状态文件提交到 Git 仓库。
Terraform 状态文件管理架构 本地状态文件 terraform.tfstate ❌ 无锁定 · 无历史 远程状态后端 S3 / Azure Storage / GCS ✅ 锁定 · 版本化 · 加密 状态锁定机制 DynamoDB / Consul 🔒 防止并发冲突 迁移 配合 状态生命周期：terraform apply → 写入后端 → terraform plan 读取 → 增量更新 terraform plan terraform apply terraform state terraform refresh ⚠️ 状态文件安全要求： • 启用服务端加密（AES-256） • 配置访问控制策略 • 定期备份状态文件历史版本

2.5 状态后端配置实战

对于制品供应链误差预算台账场景，推荐使用 S3 作为远程状态后端，并配合 DynamoDB 实现状态锁定。以下配置确保团队协作时的数据一致性与安全性。

# 配置远程状态后端
terraform {
  backend "s3" {
    bucket         = "terraform-state-supply-chain"
    key            = "error-budget/terraform.tfstate"
    region         = "us-east-1"
    encrypt        = true
    dynamodb_table = "terraform-state-lock"
  }
}
供应链基线同步关键点：状态文件中的资源属性（如 S3 存储桶 ARN、GitHub 仓库 ID）将作为配置基线的唯一标识。每次 terraform apply 后，状态文件自动更新，确保误差预算台账的配置基线始终与真实基础设施保持一致。

2.6 核心概念关系图

以下 SVG 图展示了 Provider、资源、变量、状态文件之间的协作关系，帮助理解 Terraform 配置基线的完整执行流程。

Terraform 配置基线核心概念关系 Provider AWS / GitHub / K8s 资源声明 S3 Bucket / Repo 变量与输出 参数化 / 数据传递 状态文件 真相来源 定义资源类型 参数化输入 记录映射 输出值 暴露关键属性 读取状态 🔁 配置基线同步循环： Provider 驱动资源声明 → 变量参数化配置 → 状态文件记录真实世界 → 输出暴露基线数据

2.7 常见陷阱与避坑指南

陷阱 后果 解决方案
Provider 版本未锁定 不同环境使用不同 Provider 版本，导致配置漂移 在 required_providers 中指定 version 约束
状态文件存储在本地 团队无法共享状态，并发操作导致状态损坏 迁移到 S3 + DynamoDB 远程后端
敏感变量未标记 sensitive 在日志和状态文件中明文暴露 添加 sensitive = true，并配置环境变量注入
资源间隐式依赖遗漏 资源创建顺序错误，导致 apply 失败 使用 depends_on 显式声明依赖
输出值未定义 外部系统无法获取基线关键属性 为每个模块定义必要的 output 块
供应链基线同步特别提醒：误差预算台账的配置基线必须保证状态文件的一致性。任何手动修改基础设施（如通过 AWS 控制台创建 S3 存储桶）都会导致状态文件与真实世界脱节，进而破坏基线同步的可靠性。务必坚持“基础设施即代码”原则，所有变更必须通过 Terraform 执行。
← 上一章 📖 返回目录 下一章 →