2. Terraform 基础回顾：HCL语法、Provider、Resource、Data Source核心概念

在深入配置审计与版本控制之前，必须牢固掌握 Terraform 的四大核心支柱：HCL 语法、Provider、Resource 与 Data Source。它们是所有基础设施即代码（IaC）脚本的基石，也是后续自动化审计规则的目标对象。

2.1 HCL 语法：声明式配置语言

HashiCorp Configuration Language（HCL）是 Terraform 的原生语言，采用声明式风格——你描述“最终状态”，Terraform 负责计算“如何到达”。

2.1.1 基础语法结构

# 块类型 "块标签" {
#   参数名 = 参数值
# }

resource "aws_instance" "web" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t2.micro"
  tags = {
    Name = "WebServer"
  }
}

2.1.2 变量与输出

# variables.tf
variable "region" {
  description = "AWS 部署区域"
  type        = string
  default     = "us-east-1"
}

# outputs.tf
output "instance_ip" {
  value = aws_instance.web.public_ip
  description = "Web 服务器的公网 IP"
}

2.2 Provider：云平台适配层

Provider 是 Terraform 与目标云平台（AWS、Azure、GCP 等）之间的桥梁。它负责 API 认证、资源生命周期管理和状态同步。

2.2.1 Provider 声明与版本约束

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"   # 语义版本约束
    }
  }
}

provider "aws" {
  region = var.region
  # 认证方式：环境变量 / 共享凭证文件 / IAM 角色
}

2.3 Resource：基础设施的原子单元

Resource 是 Terraform 中最核心的块，代表一个真实的基础设施组件——虚拟机、子网、安全组、DNS 记录等。每个 Resource 块定义了一个期望状态。

2.3.1 Resource 语法与依赖

resource "aws_security_group" "web_sg" {
  name        = "web-sg"
  description = "Allow HTTP and SSH"

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["10.0.0.0/8"]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_instance" "web" {
  ami                    = "ami-0c55b159cbfafe1f0"
  instance_type          = "t2.micro"
  vpc_security_group_ids = [aws_security_group.web_sg.id]  # 隐式依赖
}

2.3.2 Resource 元参数

2.4 Data Source：读取外部状态

Data Source 用于读取已有基础设施或外部数据，而不创建新资源。它让 Terraform 能够查询当前环境状态，实现数据驱动的配置。

2.4.1 Data Source 语法

# 查询现有 VPC
data "aws_vpc" "default" {
  default = true
}

# 查询最新的 Amazon Linux 2 AMI
data "aws_ami" "amazon_linux" {
  most_recent = true
  owners      = ["amazon"]

  filter {
    name   = "name"
    values = ["amzn2-ami-hvm-*-x86_64-gp2"]
  }
}

resource "aws_instance" "from_data" {
  ami           = data.aws_ami.amazon_linux.id
  instance_type = "t2.micro"
  subnet_id     = data.aws_subnet.selected.id
}

2.5 核心概念关系图

下图展示了 HCL、Provider、Resource 与 Data Source 之间的协作关系：

2.6 核心概念对比

2.7 常见陷阱与审计规则

• 陷阱 1：Provider 版本未锁定 —— 导致 terraform init 拉取不兼容版本。审计规则：检查 required_providers 块中是否包含 version 约束。
• 陷阱 2：Resource 硬编码敏感值 —— 密码、密钥直接写在 .tf 文件中。审计规则：禁止 password、secret_key 等参数使用字面量字符串。
• 陷阱 3：Data Source 未指定 most_recent —— 查询 AMI 时可能返回多个结果导致失败。审计规则：对 aws_ami 等 Data Source 强制要求 most_recent = true。
• 陷阱 4：隐式依赖循环 —— Resource A 引用 B，B 又引用 A，导致 terraform plan 死锁。审计规则：使用 terraform graph 生成依赖图，人工审查循环引用。