17、深入探索Terraform：测试、资源保护与变更分析

404Feels

于 2025-09-28 14:56:07 发布

阅读量10

点赞数

CC 4.0 BY-SA版权

分类专栏： Terraform实战精粹文章标签： Terraform Kitchen Inspec

本文链接：https://blog.csdn.net/x2y3z4a5b/article/details/152402959

Terraform实战精粹专栏收录该内容

21 篇文章 ¥69.90 ¥499.90 限时 7 天

订阅专栏

超级会员免费看

深入探索Terraform：测试、资源保护与变更分析

1. 使用Kitchen进行Terraform测试

在Terraform配置文件夹的根目录下的终端中，我们可以使用 kitchen 命令来对Terraform配置进行测试。整个测试过程分为三个主要阶段：

编写检查测试
- 创建包含配置文件和Inspec测试的文件夹树。
- 在 kt_suite 文件夹中创建 inspec.yml 文件，这是Inspec配置文件，在示例中仅包含默认值的 name 属性。
- 在 controls > inventory.rb 文件中，以Rspec格式编写Inspec测试。创建一个名为 check_inventory_file 的控制块，其中包含两个测试：

control "check_inventory_file" do
  describe file('inventory') do
    it { should exist }
    its('size') { should be > 0 }
  end
end

编写Kitchen配置 ：创建 kitchen.yml 文件，该文件包含Kitchen配置的三个部分：
- 驱动（driver） ：指定测试使用的平台，这里使用 terraform 驱动，由 kitchen-terraform 插件提供。

driver:
  name: terraform

- **供应者（provisioner）**：用于配置虚拟机的工具，这里使用`terraform`供应者。

provisioner:
  name: terraform

- **验证者（verifier）**：用于测试供应者应用的组件，这里配置为执行之前编写的Inspec测试。

verifier:
  name: terraform
  systems:
    - name: basic
      backend: local
      controls:
        - check_inventory_file
platforms:
  - name: terraform
suites:
  - name: kt_suite

执行Kitchen测试 ：在终端中运行 kitchen test 命令，该命令将执行以下操作：
1. 执行Terraform工作流的 init 和 apply 命令。
2. 运行Inspec测试。
3. 执行 destroy 命令删除为测试分配的所有资源。

以下是整个过程的流程图：

graph LR
    A[编写检查测试] --> B[编写Kitchen配置]
    B --> C[执行Kitchen测试]
    C --> C1[执行init和apply]
    C --> C2[运行Inspec测试]
    C --> C3[执行destroy命令]

在编写测试时，我们还可以使用 its('content') 表达式来测试文件内容。对于集成测试，如果不想在测试后销毁资源，可以使用 kitchen verify 命令。

2. 防止Terraform资源被销毁

在将基础设施即代码（IaC）集成到CI/CD管道时，包含重要数据的资源可能会被自动删除。为了防止这种情况，Terraform提供了 prevent_destroy 属性。

准备工作 ：使用一个管理Azure资源的Terraform配置，包括资源组、服务计划、Azure应用服务实例和Azure应用程序洞察实例。假设公司要更改资源命名，原配置中的应用程序洞察实例包含重要日志和指标，不应自动删除。
操作步骤 ：
1. 在应用程序洞察资源的Terraform配置中添加 lifecycle 块：

resource "azurerm_application_insights" "appinsight-app" {
  ...
  lifecycle {
    prevent_destroy = true
  }
}

2. 在`variables.tf`中更改`app_name`变量的默认值。
3. 执行Terraform CLI工作流。

需要注意的是， prevent_destroy 属性仅在Terraform配置中生效，不阻止通过Azure门户或Azure CLI删除资源。此外，该属性不能使用变量动态设置值。为了避免配置更改时被该属性阻止，可以将敏感资源和其他资源分开配置。

3. 实现零停机部署

在Terraform配置中更改某些资源属性可能导致资源销毁和重新创建，从而在生产环境中导致服务中断。为了实现零停机部署，我们可以使用 create_before_destroy 属性。

准备工作 ：使用一个已应用到Azure云的Terraform配置，假设要更改应用服务的名称，原配置中的名称更改会导致应用服务删除和重新创建，从而造成服务不可用。
操作步骤 ：
1. 在 azurerm_app_service 资源中添加 lifecycle 块：

resource "azurerm_app_service" "app" {
  name                = "${var.app_name}-${var.environement}"
  ...
  lifecycle {
    create_before_destroy = true
  }
}

2. 更改应用服务的`name`属性以应用新的命名规则。
3. 执行Terraform CLI工作流。

在使用 create_before_destroy 属性时，需要注意以下几点：
- 该属性仅在配置更改需要删除和重新创建资源时生效，且仅在执行 terraform apply 命令时有效。
- 新创建的资源名称应与要销毁的资源名称不同，否则可能无法创建资源。
- 对于一些需要大量配置的资源，如虚拟机，建议使用HashiCorp的Packer来创建已完全配置的虚拟机映像。

4. 检测计划命令删除的资源

Terraform的 plan 命令可以预览对基础设施的更改，但如何自动评估和分析其结果并不常见。我们可以使用 jq 工具和PowerShell脚本分析 terraform plan 命令的结果。

准备工作 ：安装 jq 工具，使用一个特定的Terraform配置，并在基础设施上运行该配置。
操作步骤 ：
1. 在应用服务实例中更改 name 属性的值：

resource "azurerm_app_service" "app" {
  name = "${var.app_name}-test-${var.environement}"
  ...
}

2. 执行`terraform init`和`terraform plan -out="tfout.tfplan"`命令。
3. 执行以下PowerShell脚本分析将被删除的资源数量：

$tfplan = terraform show -json tfout.tfplan
$actions = $tfplan | jq.exe .resource_changes[].change.actions[]
$nbdelete = $actions -match 'delete' | Measure-Object | Select-Object Count
Write-Host $nbdelete.Count

该脚本将输出将被删除的资源数量。脚本语言可以使用任何脚本语言，还可以将其封装为函数，在 terraform plan 命令后调用，若返回正删除数量则不应用Terraform配置。此外，还有其他工具可用于解析和处理 terraform plan 生成的计划，如 terraform-plan-parser 和Open Policy Agent for Terraform。

深入探索Terraform：测试、资源保护与变更分析

5. 各操作的总结与对比

6. 操作流程的综合梳理

我们可以通过以下mermaid流程图来综合梳理上述几种操作的大致流程：

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    classDef decision fill:#FFF6CC,stroke:#FFBC52,stroke-width:2px;

    A([开始]):::startend --> B{选择操作类型}:::decision
    B -->|Kitchen测试| C(编写检查测试):::process
    B -->|防止资源销毁| D(添加prevent_destroy属性):::process
    B -->|零停机部署| E(添加create_before_destroy属性):::process
    B -->|检测计划删除资源| F(更改资源名称):::process
    C --> G(编写Kitchen配置):::process
    G --> H(执行Kitchen测试):::process
    D --> I(更改变量值):::process
    I --> J(执行Terraform CLI工作流):::process
    E --> K(更改资源名称):::process
    K --> J
    F --> L(执行terraform init和plan):::process
    L --> M(执行脚本分析结果):::process
    H --> N([结束]):::startend
    J --> N
    M --> N

7. 操作的进阶应用思路

在实际应用中，我们可以将这些操作进行组合和拓展，以满足更复杂的需求。例如：
- 组合使用 ：在进行大规模的Terraform配置更新时，可以先使用检测计划删除资源的方法，确保不会意外删除重要资源；然后使用零停机部署的方法，保证服务的连续性；最后使用Kitchen进行全面测试，确保配置的正确性。
- 自动化集成 ：将这些操作集成到CI/CD管道中，实现自动化的资源管理和测试。例如，在每次代码提交时，自动执行 terraform plan 并检测是否有资源将被删除，如果有则进行相应的处理；然后自动执行零停机部署和Kitchen测试，确保基础设施的稳定和正确。