如何使用腾讯云 COS 桶作为 Pulumi 状态后端

最新推荐文章于 2025-08-23 11:42:50 发布

原创最新推荐文章于 2025-08-23 11:42:50 发布 · 273 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#腾讯云 #服务器 #云计算

文章介绍了如何将腾讯云COS存储桶作为Pulumi的远程状态后端，以避免在CI中修改本地文件和暴露敏感信息。通过创建特定的子账户和授权策略，遵循最小权限原则，确保安全操作。

Pulumi 可以用任意 s3 协议作为 状态后端 (State Backend)，相对于使用 本地目录 作为 状态后端 而言，这样的好处是使用 持续集成 (CI) 执行 Pulumi 命令的时候，不会修改仓库文件，并且 状态文件 中的密码在 Git 仓库 内不可见

我自己实验了一个可行的流程，使用 腾讯云 COS 作为 Pulumi 的 状态后端，并遵循了 最小权限原则

创建一个 COS 桶 叫 iac-state
创建一个 子账户，叫 bot-iac-state
使用自定义策略授权 子账户 （1111111111 改成对应的 腾讯云主账户 AppID）

{
    "statement": [
        {
            "action": [
                "cos:GetService"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "cos:*"
            ],
            "effect": "allow",
            "resource": [
                "qcs::cos::uid/1111111111:iac-state-1111111111/*"
            ]
        }
    ],
    "version": "2.0"
}

Pulumi.yml 中修改 backend.url（1111111111 改成对应的 腾讯云主账户 AppID，桶内子路径可以自定义）

backend:
  url: 's3://iac-state-1111111111/any/sub/path?endpoint=cos.ap-guangzhou.myqcloud.com&s3ForcePathStyle=true&region=ap-guangzhou'

设置环境变量

AWS_ACCESS_KEY_ID
AWS_SECRET_ACCESS_KEY

之后，执行 pulumi pre / pulumi up 就可以用腾讯云的 COS 桶作为状态后端了