掌握 Terraform：可扩展、安全、可靠的基础设施即代码的最佳实践

云攀登者-望正茂

于 2025-04-09 11:28:11 发布

阅读量1k

点赞数 12

文章标签： terraform devops 面试

本文链接：https://blog.csdn.net/weixin_39660059/article/details/147083697

版权

在本文中，我们探讨了使用 Terraform 管理基础设施即代码 (IaC) 的最佳实践。Terraform 是 IaC 领域中一种流行的工具，它使我们能够安全且可预测地将更改应用于我们的基础设施。

刚开始使用 Terraform 可能会让人感到害怕，但初学者可以很快对该工具有基本的了解。在最初的学习期之后，新用户可以开始运行命令、创建和重构 Terraform 代码。在此过程中，许多新用户会面临有关如何正确构建代码、使用高级功能、在 IaC 过程中应用软件开发最佳实践等方面的细微差别和问题。

1. 将代码组织成模块：

将 Terraform 代码组织成可重用模块可提高可维护性和可重用性。

示例：

# main.tf

module "web_server" {
source = "./modules/web_server"

instance_count = 3
// other terraform module
}
# modules/web_server/main.tf

variable "instance_count" {
description = "number of web server instance "
}

resource "aws_instance" "web_server" {
count = var.instance_count

// instance configuration
}

2. 使用变量实现可配置性：

利用变量使您的配置更灵活、更易于重用。

示例：

# main.tf

variable "region" {
  default     = "us-west-2"
  description = "AWS region"
}

provider "aws" {
  region = var.region
}

3. 使用工作区分离环境：

使用工作区管理具有相同配置的多个环境（例如，开发、staging、生产）。

示例：

terraform workspace new dev
terraform workspace new prod

4. 锁定状态以进行协作：

使用远程状态存储和锁定来实现团队成员之间的协作。

示例（后端配置）：

# backend.tf

backend "s3" {
bucket = "my-terraform-backend"
key = "terraform.tfstate"
region = "us-east-1"
encrypt = true
dynamodb_table = "terraform-lock-table"
}

5. 为模块设置版本：

为模块设置版本以确保可重复性并避免意外更改。

示例：

# main.tf

module "web_server" {
source = "git::https://github.com/example/web_server.git?ref=v1.0.0"

// module-specific variable
}

6. 使用依赖项固定：

固定提供程序和模块的版本以避免意外更改。

示例（提供商版本固定）：

# main.tf

provider "aws" {
version = "~> 3.0"
// other provider configuration
}

7. 避免硬编码敏感信息：

使用环境变量或输入变量避免硬编码敏感信息，如 API 密钥。

示例：

# main.tf

provider "aws" {
region = var.aws_region
access_key = var.aws_access_key
secret_key = var.aws_secret_key
}

8. 启用详细日志记录以进行故障排除：

在开发和故障排除期间启用详细日志记录。

示例：

# main.tf

provider "aws" {
  // Other provider configuration
  // ...

  // Enable detailed logging
  terraform {
    log = {
      format = "json"
    }
  }
}

9. 使用 Terraform 模块注册表：

利用 Terraform 模块注册表来发现和共享模块。

示例（使用注册表中的模块）：

# main.tf

module "vpc" {
source = "terraform-aws-modules/vpc/aws"
version = "2.81.0"

// Module-specific variables
}

10. 定期更新 Terraform 和提供商：

Keep Terraform and your providers up to date to benefit from new features, bug fixes, and security updates.

示例（更新 Terraform）：

terraform version
terraform init -upgrade

11. 记录您的代码：

在您的 Terraform 代码中添加注释和文档，以解释复杂的配置并为未来的维护者提供上下文。

示例：

# main.tf

# Provisioning an S3 bucket for storing static website content
resource "aws_s3_bucket" "static_website" {
  # Bucket configuration
  bucket = "my-static-website"
  acl    = "public-read"
}

12. 使用数据源进行信息检索：

利用 Terraform 数据源从基础架构中的现有资源中获取信息。

示例（AWS VPC provider）：

# main.tf

data "aws_vpcs" "all_vpcs" {}

output "vpc_ids" {
value = data.aws_vpcs.all_vpcs.ids
}

13. 应用最小权限原则：

配置提供商凭证时，请遵循最小权限原则。避免使用过于宽松的 IAM 角色或账户。

示例（AWS IAM 角色策略）：

# main.tf

provider "aws" {
  // Other provider configuration
  // ...

  assume_role {
    role_arn = "arn:aws:iam::ACCOUNT_ID:role/terraform"
  }
}

14. 测试您的基础设施代码：

使用 Terratest 等工具为您的 Terraform 代码实施自动化测试，以便在开发过程的早期发现问题。

示例（Terratest）：

// test/main_test.go

package test

import (
  "testing"
  "github.com/gruntwork-io/terratest/modules/terraform"
  "github.com/stretchr/testify/assert"
)

func TestTerraformExample(t *testing.T) {
  terraformOptions := &terraform.Options{
    // Set Terraform variables and other options
    TerraformDir: "../examples/simple",
  }

  // Run `terraform init` and `terraform apply`
  terraform.InitAndApply(t, terraformOptions)

  // Validate the result
  result := terraform.Plan(t, terraformOptions)
  assert.True(t, len(result.Diff.Modules) == 0)
}

15. 实现远程后端锁定：

使用一个具有锁定功能的远程后端（例如，带有 DynamoDB 的 AWS S3），用于防止并发修改并确保状态一致性。

示例（远程后端配置）：

# backend.tf

backend "s3" {
  bucket         = "my-terraform-backend"
  key            = "terraform.tfstate"
  region         = "us-east-1"
  encrypt        = true
  dynamodb_table = "terraform-lock-table"
}

16. 监控和审计变更：

将 Terraform 与监控和审计工具集成，以跟踪变更并监控基础设施的状态。

示例（AWS CloudTrail 集成）：

# main.tf

resource "aws_cloudtrail" "example" {
name = "example-cloudtrail"
s3_bucket_name = "example-cloudtrail-bucket"
is_multi_region_trail = true
enable_log_file_validation = true
include_global_service_events = true
}

17. 对基础设施代码进行版本控制：

将 Terraform 代码存储在版本控制系统（例如 Git）中，以便跟踪变更、协作以及回滚到之前的配置。

示例（Git 使用）：

git init
git add .
git commit -m "Initial Terraform configuration"

18. 区分不可变资源和可变资源：

区分不可变资源（例如，基础设施组件）和可变资源（例如，应用程序配置），以便于控制更新。

示例：

# main.tf

// Immutable infrastructure
resource "aws_instance" "web_server" {
  // ...
}

// Mutable application configuration
resource "aws_s3_bucket" "app_config" {
  // ...
}

19. 定期审查和重构代码：

定期进行代码审查并重构 Terraform 代码，以提高可读性、可维护性并遵循最佳实践。

20. 考虑使用 Terraform Cloud 或 Enterprise：

对于较大的团队或企业级项目，请考虑使用 Terraform Cloud 或 Enterprise 进行协作、版本控制和附加功能。

这些额外的最佳实践可以增强 Terraform 配置的安全性、可靠性和可扩展性。请始终根据具体的项目需求和团队工作流程调整最佳实践。

21. 实施资源标记：

对资源应用一致的标记，以便更好地组织、跟踪和管理成本。

示例：

# main.tf

resource "aws_instance" "example" {
  // ...

  tags = {
    Name        = "web-server"
    Environment = "production"
    Project     = "my-project"
  }
}

22. 备份和版本控制状态文件：

定期备份 Terraform 状态文件，并考虑对其进行版本控制。这可确保恢复选项，并允许您在需要时回滚到已知状态。

23. 谨慎使用条件逻辑：

在 Terraform 配置中限制使用条件逻辑。复杂性会使配置更难理解和维护。

示例（条件资源创建）：

# main.tf

resource "aws_instance" "example" {
count = var.create_instance ? 1 : 0
// ...
}

24. 安全处理机密：

使用专用机密管理工具或平台（例如 HashiCorp Vault）来存储和检索敏感信息。

25. 保持 Terraform 版本一致：

确保所有团队成员使用相同的 Terraform 版本，以防止兼容性问题。

示例（代码中的 Terraform 版本约束）：

# main.tf

terraform {
required_version = ">= 0.15, < 0.16"
}

26. 考虑使用 Terraform 模块进行工作流：

将复杂的工作流分解为可重用的模块，使其更易于理解、测试和维护。

示例（多层应用程序模块）：

# main.tf

module "web_app" {
source = "./modules/web_app"

// module-specific variable
}

27. 使用 Terraform 内置函数：

利用 Terraform 内置函数进行字符串操作、格式化和其他常见任务。

示例：

# main.tf

locals {
environment_name = "dev"
}

resource "aws_s3_bucket" "example" {
bucket = "my-${local.environment_name}-bucket"
// ...
}

28. 实施审核和批准流程：

在将 Terraform 变更应用到生产环境之前，建立审核和批准流程。

29. 监控 Terraform 操作：

使用监控工具跟踪 Terraform 操作并识别问题或性能瓶颈。

30. 记录外部依赖项：

清晰地记录 Terraform 配置运行所需的外部依赖项，例如外部脚本或手动步骤。

示例（外部脚本依赖项）：

# main.tf

provisioner "local-exec" {
command = "./setup_script.sh"
}

31. 审查并实施提供商安全最佳实践：

遵循云提供商提供的安全最佳实践，以确保访问和配置的安全。

示例（AWS 安全组）：

# main.tf

resource "aws_security_group" "example" {
// security group configuration
// ...

ingress {
from_port = 22
to_port = 22
protocol = "tcp"
cidr_blocks = ["0.0.0.0/0"]
 }
}

32. 规划和应用分步进行：

规划（terraform plan）和应用（terraform apply）使用单独的步骤，以避免意外更改。

terraform plan -out=tfplan
terraform apply tfplan

33. 考虑使用 Terraform Cloud 工作区：

对于远程协作和管理，请考虑使用 Terraform Cloud 工作区。

示例（Terraform Cloud 配置）：

# main.tf

terraform {
backend "remote" {
organization = "your-org"
workingspaces = {
name = "example-workspace"
}
}
}

34. 自动化审批工作流：

将 Terraform 变更与审批工作流集成，例如使用 Terraform Cloud 的 Sentinel 策略，以确保变更在应用前经过审核和批准。

35. 明智地使用状态数据输出：

谨慎使用状态数据输出暴露敏感信息。除非必要，否则避免输出敏感数据，并尽可能使用数据源检索信息。

示例（输出敏感信息）：

# main.tf

resource "aws_instance" "example" {
// ...
}

output "instance_ip" {
value = aws_instance.example.private_ip
}

36. 实施资源命名约定：

建立并遵守资源命名约定，以保持整个基础架构的一致性和清晰度。

示例：

# main.tf

resource "aws_instance" "web_server" {
// ...
tags = {
Name = "web-${var.environment}-instance"
Environment = var.environment
 }
}

37. 明确设置资源依赖关系：

使用depends_on属性明确定义资源之间的依赖关系，以确保正确的资源创建顺序。

示例：

# main.tf

resource "aws_security_group" "example" {
// ...

depends_on = [
aws_vpc.example,
aws_subnet.example,
 ]
}

38. 定期查看提供商发行说明：

定期查看发行说明，及时了解提供商的更新。这有助于您利用新功能，并了解任何可能影响配置的更改。

39. 使用 Terraform 工作区限制影响范围：

使用 Terraform 工作区隔离环境，并限制不同阶段（例如开发、预发布、生产）更改的潜在影响。

40. 避免使用硬编码的资源 ID：

引用现有资源时，避免使用硬编码的资源 ID。相反，请使用数据源动态检索所需信息。

示例（硬编码安全组 ID）：

# main.tf

resource "aws_instance" "example" {
// ...

vpc_security_group_ids = ["sg-0123456789abcdef0"]
}

示例（使用数据源）：

# main.tf

data "aws_security_group" "example" {
name = "example-security-group"
}

resource "aws_instance" "example" {
// ...

vpc_security_group_ids = [data.aws_security_group.example.id]
}

41. 有效处理 Terraform 状态锁：

确保有效处理状态锁，尤其是在多个团队成员或自动化脚本可能与同一状态交互的情况下。

42. 谨慎使用资源元参数：

使用 count、for_each 或 lifecycle 块等元参数时要谨慎。它们会显著影响资源行为和依赖关系。

43. 实施回滚策略：

为应对 Terraform 部署失败的情况，制定回滚策略。这可能包括创建备份、先在预发布环境中验证更改，或使用金丝雀部署。

44. 谨慎使用 Terraform Import：

谨慎使用 Terraform Import 并了解其局限性。手动将资源导入 Terraform 可能会给维护和更新配置带来挑战。

45. 考虑使用 Terraform Sentinel 策略：

在 Terraform Cloud 中实施 Sentinel 策略，以在您的基础架构中强制执行合规性和安全性标准。

示例（Sentinel 策略文件）：

# sentinel.hcl

import “tfplan”

main = rule {
all tfplan.resources.aws_instance as _, instances {
instances.attributes.instance_type is "t2.micro"
}
}

这些额外的最佳实践可以提高 Terraform 配置的整体效率、安全性和可靠性。请一如既往地根据项目的具体需求和规模进行调整。