terraform

Terraform 基础设施即代码

补充说明

terraform 用 HCL 描述云资源，通过 provider 调用各平台 API，并把状态保存在 backend 中。核心流程是 init、plan、apply，状态文件是团队协作的关键。

常用示例

terraform init
terraform init -upgrade
terraform fmt -recursive
terraform validate
terraform plan -out=tfplan
terraform apply tfplan
terraform show
terraform output
terraform state list
terraform state show aws_instance.web
terraform import aws_instance.web i-0123456789
terraform plan -replace=aws_instance.web
terraform destroy
terraform workspace list
terraform providers lock -platform=linux_amd64

易错点与排错

• 状态文件包含明文敏感信息；remote backend 要加密并限制访问。
• 多人协作必须启用状态锁；本地状态很容易互相覆盖。
• plan -out 后用同一个 plan 文件 apply，避免计划与执行不一致。
• 手工改云资源会造成 drift；用 plan 和 refresh 先看差异。
• import 只把现有资源纳入状态，不会自动生成完整配置；导入后要补齐代码。
• provider 和 module 版本要锁定；浮动版本会让 plan 结果漂移。
• destroy 的删除顺序由依赖图决定；有保护策略或终结器时会失败。
• workspace 不是环境隔离的万能方案；共享 backend 时仍要防止状态串用。
• 凭据不要写进 .tf 或变量默认值；用环境变量、OIDC 或密钥管理服务。

相关命令

• opentofu — Terraform 的开源分支
• terragrunt — Terraform 的编排封装
• pulumi — 用编程语言描述基础设施

读完自测

合上页面，先回答，再展开对照。

1. 为什么推荐 terraform plan -out=tfplan 后用同一个 plan 文件 apply？
2. terraform import 会自动生成完整的资源代码吗？
3. 状态文件在协作和安全上要注意什么？