📚 课程目录第1章课程导论

1. 课程导论：Terraform 配置审计与版本控制的必要性、课程目标与学习路径

在“值班轮转机器人”项目中，Terraform 管理着从云主机、数据库、负载均衡到消息队列、监控告警的全部基础设施。一旦配置出现错误或未经授权的变更，可能导致服务中断、数据泄露或合规违规。以下是三个核心驱动因素：

驱动因素	典型风险场景	后果
变更失控	开发人员直接修改生产环境的 Terraform 状态文件或手动在云控制台操作	配置漂移、资源被意外删除、回滚困难
合规与审计	安全组规则被放宽、存储桶公开访问、密钥未轮换	违反 SOC2/ISO27001 要求，面临罚款或客户流失
协作冲突	多人同时修改同一模块，未经过 Code Review 直接 apply	状态锁冲突、模块版本不一致、生产事故

⚠️ 常见误区： 很多团队只把 Terraform 代码放在 Git 仓库中，却忽略了 状态文件（terraform.tfstate） 的版本控制与审计。状态文件包含明文敏感信息（如数据库密码、），且是基础设施的“唯一真相来源”，必须单独保护。

本课程旨在为“值班轮转机器人”项目建立一套完整的 Terraform 配置审计与版本控制体系。完成本课程后，你将能够：

掌握 Terraform 状态文件的安全存储与版本管理：使用 Terraform Cloud、S3 + DynamoDB 或 GitLab Managed Terraform State 实现远程状态锁定与历史追溯。
实施配置即代码（CaC）审计流水线：在 Git 提交时自动触发 Terraform Plan、静态代码扫描（tfsec/checkov）和合规策略检查（Sentinel/OPA）。
建立分支策略与变更审批流程：通过 GitLab Flow / GitHub Flow 结合 Merge Request 实现基础设施变更的 Code Review 与审批门禁。
实现配置漂移检测与自动修复：定期运行 Terraform Plan 对比期望状态与实际状态，并通过 CI/CD 管道自动纠正漂移。
构建可追溯的审计日志：记录每一次 Terraform Apply 的执行人、变更内容、时间戳和审批记录，满足合规审计要求。

课程按照“基础 → 工具链 → 实战 → 进阶”四个阶段组织，共 30 章。下表展示了各阶段的核心模块与交付物：

阶段	章节范围	核心内容	关键交付物
基础篇	第 1-6 章	Terraform 核心概念、状态管理、远程后端配置、敏感信息加密	远程状态后端配置模板、KMS 加密方案
工具链篇	第 7-14 章	Git 分支策略、CI/CD 管道（GitLab CI/GitHub Actions）、静态扫描工具（tfsec/checkov）、策略即代码（Sentinel）	CI/CD 流水线配置文件、扫描规则集
实战篇	第 15-24 章	值班轮转机器人完整基础设施代码审计、漂移检测、自动修复、变更审批流程	审计流水线、漂移检测脚本、审批门禁配置
进阶篇	第 25-30 章	多环境隔离、模块版本管理、Terraform Registry 私有模块、灾难恢复与回滚	多环境目录结构、模块发布流程、回滚方案

💡 学习建议： 如果你是 Terraform 新手，建议先完成基础篇（第 1-6 章）再进入工具链篇。如果你已有 Terraform 使用经验，可以直接从第 7 章开始，但请确保已理解远程状态后端和敏感信息加密的原理。

下图展示了“值班轮转机器人”项目中 Terraform 配置审计与版本控制的整体架构。该架构将 Git 仓库作为单一可信源，通过 CI/CD 管道串联代码扫描、策略检查、Plan 审批和 Apply 执行，最终将状态文件安全存储于远程后端，并生成完整的审计日志。

为了获得最佳学习体验，建议你具备以下基础：

Terraform 基础：了解 Terraform 核心概念（资源、数据源、变量、输出、模块），能够编写简单的 .tf 配置文件。
Git 版本控制：熟悉 Git 基本操作（clone、commit、push、pull、merge、rebase），了解分支模型。
CI/CD 基础：了解持续集成/持续部署的基本概念，使用过至少一种 CI/CD 工具（GitLab CI、GitHub Actions、Jenkins 等）。
云平台基础：对 AWS、Azure 或 GCP 中的至少一个云平台有基本了解，能够创建和管理云资源。

  🔑 课程核心原则： 本课程所有实践操作均围绕“值班轮转机器人”项目展开。我们会在每章提供完整的代码示例和配置文件，你可以直接在自己的环境中运行。建议准备一个独立的测试账号或沙箱环境，避免影响生产资源。