Ansible 与 Terraform 的差异与组合

结论先行

Terraform 用声明式和状态文件管理云资源生命周期；Ansible 用无状态任务做主机配置、应用部署和编排。云资源优先 Terraform，主机内配置优先 Ansible，两者通常组合使用。

核心差异

维度	Terraform	Ansible
模型	声明式 + 状态文件	过程式任务，幂等靠模块
状态	必须管理 state/backend	无中心状态
资源	云 API、网络、IAM 等	主机、包、服务、文件
执行	plan → apply	playbook 逐任务执行
回滚	通过 state/代码回退	依赖任务幂等和备份
生态	Provider 丰富	模块/角色/集合丰富

怎么选

创建 VPC、VM、数据库、IAM：Terraform。
装包、改配置、部署应用、重启服务：Ansible。
需要审批和变更预览：Terraform plan。
需要批量主机编排和临时操作：Ansible。

注意

terraform plan -out=tfplan
terraform apply tfplan
ansible-playbook -i inventory site.yml --check --diff

Terraform state 是核心资产；远程 backend、锁和备份必须配置。
Ansible 的幂等性取决于模块和写法；shell/command 要加 creates/changed_when。
不要用 Ansible 管理云资源的全生命周期，也不要指望 Terraform 管主机内配置。
两者都能调用对方：Terraform 可触发 Ansible，Ansible 可调用 Terraform，注意执行顺序。
凭据管理要统一，避免一份密钥散落在 inventory、变量和 CI 中。
变更前先 dry-run/check，生产环境保留回滚路径。

相关命令

terraform — 基础设施
ansible-playbook — 配置管理
ansible-vault — 敏感变量