# Terraform AWS 基础设施管理 ## 概述使用 Terraform 管理 AWS 基础设施即代码的完整指南。此技能通过 Terraform 1.11+ 功能和 AWS Provider 6.x 为 VPC 网络、IAM 安全、状态管理和常见 AWS 资源提供生产就绪模式。 **关键字**：Terraform、AWS、基础设施即代码、IaC、VPC、IAM、S3 后端、状态锁定、模块、EC2、RDS、EKS、安全组、CloudWatch **Terraform 版本**：1.11+（具有 S3 本机锁定）**AWS 提供商**：6.x ## 何时使用此技能 * 使用 Terraform 配置 AWS 基础设施 * 使用公有/私有子网设置 VPC 网络 * 配置 IAM 角色、策略和权限 * 使用 S3 后端管理 Terraform 状态 * 部署数据库（RDS、Aurora） * 创建 EKS 就绪的 VPC 配置 * 解决 Terraform 计划/应用失败问题 * 从 DynamoDB 迁移到 S3 本机锁定 * 将现有AWS资源导入Terraform ## 快速入门 ### 基本 AWS 提供商配置地形{ required_version = ">= 1.11.0" 必需的提供者{ AWS = { 来源=“hashicorp/aws” 版本=“〜> 6.0” } } 后端“s3”{ 桶=“我的地形状态桶” 键=“生产/terraform.tfstate” 区域 =“us-east-1” # 本机 S3 锁定 (Terraform 1.11+) use_lockfile = true } } 提供商“aws”{ 区域 = var.aws_region 默认标签{ 标签={ 环境 = var.environment 管理者=“Terraform” 项目 = var.project_name } } } ### 变量配置变量“aws_region”{ 描述 =“所有资源的 AWS 区域” 类型=字符串默认 =“us-east-1” } 变量“环境”{ 描述 =“环境名称（开发、暂存、生产）” 类型=字符串验证{ 条件=包含（[“开发”，“分期”，“生产”]，var.environment） error_message = "环境必须是开发、登台或生产。" } } 变量“项目名称”{ description =“资源命名和标记的项目名称” 类型=字符串 } ## 常见资源模式 ### 具有公共和私有子网的 VPC 模块“vpc”{ 源 =“terraform-aws-modules/vpc/aws” 版本=“〜> 5.0” 名称 =“${var.project_name}-vpc” cidr =“10.0.0.0/16” azs = ["us-east-1a", "us-east-1b", "us-east-1c"] private_subnets = [“10.0.1.0/24”，“10.0.2.0/24”，“10.0.3.0/24”] public_subnets = [“10.0.101.0/24”，“10.0.102.0/24”，“10.0.103.0/24”] 启用 nat_gateway = true single_nat_gateway = var.environment != "productive" # 非产品的成本优化启用 dns 主机名 = true 启用 dns_support = true # VPC 流日志启用流日志 = true create_flow_log_cloudwatch_iam_role = true create_flow_log_cloudwatch_log_group = true 标签={ 环境 = var.environment } } ### 具有加密和版本控制的 S3 存储桶资源“aws_s3_bucket”“app_data”{ 存储桶 =“${var.project_name}-app-data-${var.environment}” 标签={ 名称 =“${var.project_name}-app-data” 环境 = var.environment } } 资源“aws_s3_bucket_versioning”“app_data”{ 存储桶 = aws_s3_bucket.app_data.id 版本控制配置{ 状态=“已启用” } } 资源“aws_s3_bucket_server_side_encryption_configuration”“app_data”{ 存储桶 = aws_s3_bucket.app_data.id 规则{ apply_server_side_encryption_by_default { sse_算法=“AES256” } } } 资源“aws_s3_bucket_public_access_block”“app_data”{ 存储桶 = aws_s3_bucket.app_data.id block_public_acls = true 块公共政策 = true ignore_public_acls = true 限制公共存储桶 = true } ### 具有 SSM 访问权限的 EC2 的 IAM 角色 # EC2 实例的 IAM 角色资源“aws_iam_role”“ec2_app_role”{ 名称 = "${var.project_name}-ec2-app-role" 假设角色策略 = jsonencode({ 版本=“2012-10-17” 声明 = [ { 动作 =“sts:AssumeRole” 效果=“允许” 本金 = { 服务=“ec2.amazonaws.com” } } ] }) } # 附加 SSM 的 AWS 托管策略资源“aws_iam_role_policy_attachment”“ec2_ssm”{ 角色 = aws_iam_role.ec2_app_role.name policy_arn = "arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore" } # S3 访问的自定义策略资源“aws_iam_role_policy”“ec2_s3_access”{ 名称 =“${var.project_name}-ec2-s3-access” 角色 = aws_iam_role.ec2_app_role.id 策略 = jsonencode({ 版本=“2012-10-17” 声明 = [ { 效果=“允许” 行动=[ “s3：获取对象”， “s3：放置对象”， “s3：删除对象” ] 资源 =“${aws_s3_bucket.app_data.arn}/*” }, { 效果=“允许” 行动=[ “s3：列表桶” ] 资源 = aws_s3_bucket.app_data.arn } ] }) } # EC2 的实例配置文件资源“aws_iam_instance_profile”“ec2_app_profile”{ 名称 = "${var.project_name}-ec2-app-profile" 角色 = aws_iam_role.ec2_app_role.name } ### RDS PostgreSQL 数据库资源“aws_db_subnet_group”“主”{ 名称 =“${var.project_name}-db-子网组” subnet_ids = module.vpc.private_subnets 标签={ 名称 = "${var.project_name}-db-subnet-group" } } 资源“aws_security_group”“rds”{ 名称 =“${var.project_name}-rds-sg” 描述 =“RDS 数据库的安全组” vpc_id = 模块.vpc.vpc_id 入口{ 描述 =“来自 VPC 的 PostgreSQL” 来自端口 = 5432 到端口 = 5432 协议=“TCP” cidr_blocks = [module.vpc.vpc_cidr_block] } 出口{ 来自端口 = 0 到端口 = 0 协议=“-1” cidr_blocks = ["0.0.0.0/0"] } } 资源“aws_db_instance”“主”{ 标识符 = "${var.project_name}-db-${var.environment}" 引擎=“postgres” 引擎版本=“16.3” instance_class = var.environment == "生产" ? “db.t3.medium”：“db.t3.micro” allocate_storage = var.environment == "生产" ? 100：20 存储类型=“gp3” db_name = var.db_name 用户名 = var.db_用户名 password = var.db_password # 在生产中使用 AWS Secrets Manager！ db_subnet_group_name = aws_db_subnet_group.main.name vpc_security_group_ids = [aws_security_group.rds.id] backup_retention_period = var.environment == "生产" ? 30：7 备份窗口=“03:00-04:00” Maintenance_window =“周日:04:00-周日:05:00” enabled_cloudwatch_logs_exports = [“postgresql”，“升级”] delete_protection = var.environment == "生产" Skip_final_snapshot = var.environment != "生产" Final_snapshot_identifier = var.environment == "生产" ? "${var.project_name}-db-final-snapshot-${formatdate("YYYY-MM-DD-hhmm", timestamp())}" : null 标签={ 名称 =“${var.project_name}-db” 环境 = var.environment } } ## 状态管理 ### 具有本机锁定的 S3 后端（Terraform 1.11+） **推荐方法** \- 无需 DynamoDB！地形{ 后端“s3”{ 桶=“我的地形状态桶” 键=“生产/terraform.tfstate” 区域 =“us-east-1” # 启用 S3 本机锁定 (Terraform 1.11+) use_lockfile = true # 加密加密=真 # 可选：使用KMS进行加密 # kms_key_id = "arn:aws:kms:us-east-1:123456789012:key/abcd1234-..." } } ### 旧版：S3 + DynamoDB 锁定 **对于 Terraform < 1.11：** 地形{ 后端“s3”{ 桶=“我的地形状态桶” 键=“生产/terraform.tfstate” 区域 =“us-east-1” dynamodb_table =“terraform-状态锁” 加密=真 } } 有关完整的状态管理模式，请参阅 [references/state-management.md]()。 ## 模块使用模式 ### 使用社区模块 # 专有网络模块模块“vpc”{ 源 =“terraform-aws-modules/vpc/aws” 版本=“〜> 5.0” 名称 =“${var.project_name}-vpc” cidr = var.vpc_cidr azs = var.availability_zones private_subnets = var.private_subnet_cidrs 公共子网 = var.public_subnet_cidrs 启用 nat_gateway = true 启用VPN网关=假 } # EKS 模块模块“eks”{ 来源 =“terraform-aws-modules/eks/aws” 版本=“〜> 20.0” cluster_name = "${var.project_name}-eks" 集群版本=“1.30” vpc_id = 模块.vpc.vpc_id subnet_ids = module.vpc.private_subnets eks_managed_node_groups = { 主要= { 最小尺寸 = 2 最大尺寸 = 10 所需大小 = 3 instance_types = ["t3.medium"] 容量类型=“按需” } } } ### 创建自定义模块模块/ └── 应用/ ├── main.tf ├── 变量.tf ├── 输出.tf └── 自述文件.md # 使用自定义模块模块“应用程序”{ 源=“./模块/应用程序” 名称 =“${var.project_name}-app” 环境 = var.environment vpc_id = 模块.vpc.vpc_id subnet_ids = module.vpc.private_subnets } ## 常见工作流程 ### 初始化 Terraform # 初始化后端和下载提供程序地形初始化 # 将状态迁移到新后端 terraform 初始化-迁移状态 # 重新配置后端 terraform 初始化-重新配置 ### 计划并应用变更 # 看看会发生什么变化 terraform 计划-out=tfplan # 应用更改地形应用 tfplan # 自动批准（谨慎使用！） terraform 应用-自动批准 # 定位特定资源 terraform apply -target=aws_instance.web ### 导入现有资源 # 导入专有网络 terraform 导入 aws_vpc.main vpc-12345678 # 导入S3桶 terraform import aws_s3_bucket.app_data my-bucket-name # 导入RDS实例 terraform 导入 aws_db_instance.main my-db-instance ### 工作区管理 # 列出工作区地形工作区列表 # 创建工作区 terraform 工作区新阶段 # 切换工作空间 terraform工作区选择生产 # 显示当前工作空间地形工作区展示 ## 详细文档有关特定主题的综合指南： * **VPC 网络** ：[references/vpc-networking.md]() * VPC模块配置 * 公共/私有/内部子网 * NAT 网关模式 * VPC端点 * 安全组和 NACL * EKS 就绪 VPC 设置 * **IAM 安全性**：[references/iam-security.md]() * IAM 角色和政策 * 承担角色政策 * 服务相关角色 * 跨账户访问 * 权限边界 * 政策最佳实践 * **状态管理**：[references/state-management.md]() * S3后端配置 * 本机锁定与 DynamoDB * 状态加密 * 工作空间策略 * 导入和迁移 * 状态操纵 ## 常见问题及解决方案问题 |原因 |修复 ---|---|--- 状态锁超时|孤立的锁定文件 | `terraform 强制解锁 ` 提供者版本冲突 |不兼容的版本 |更新“required_providers”块资源依赖性循环 |循环参考|使用“depends_on”或拆分资源资源已存在 |在 Terraform 外部创建的资源 |使用“terraform import” 权限不足|缺少 IAM 权限 |添加所需的 IAM 策略检测到状态漂移 | AWS 中的手动更改 |使用“terraform plan”进行审查，然后应用或导入 ## 最佳实践 ### 资源命名 # 使用一致的命名模式资源“aws_instance”“网络”{ # 格式：{项目}-{资源}-{环境} 标签={ 名称 = "${var.project_name}-web-${var.environment}" } } ### 特定于环境的配置 # 使用条件来区分环境差异资源“aws_db_instance”“主”{ instance_class = var.environment == "生产" ? “db.r5.large”：“db.t3.micro” backup_retention_period = var.environment == "生产" ? 30：7 delete_protection = var.environment == "生产" } ### 敏感数据管理 # 永远不要对秘密进行硬编码！变量“db_password”{ 描述=“数据库主密码” 类型=字符串敏感=真实 } # 使用 AWS Secrets Manager 数据“aws_secretsmanager_secret_version”“db_password”{ Secret_id =“生产/数据库/密码” } 资源“aws_db_instance”“主”{ 密码 = data.aws_secretsmanager_secret_version.db_password.secret_string } ### 默认标签提供商“aws”{ 区域 = var.aws_region # 所有资源都会自动获取这些标签默认标签{ 标签={ 环境 = var.environment 管理者=“Terraform” 项目 = var.project_name 成本中心 = var.cost_center } } } ## 快速参考命令 # 初始化 terraform init # 初始化工作目录 terraform init -upgrade # 将提供程序升级到最新版本 # 规划 terraform plan # 显示执行计划 terraform plan -out=tfplan # 将计划保存到文件 terraform plan -destroy # 计划资源销毁 # 申请 terraform apply # 应用更改 terraform apply tfplan # 应用保存的计划 terraform destroy # 销毁所有资源 # 状态管理 terraform state list # 列出状态中的资源 terraform state show # 显示资源详细信息 terraform state rm # 从状态中删除资源 terraform state mv # 移动/重命名状态中的资源 # 验证 terraform fmt # 格式化 HCL 文件 terraform fmt -recursive # 格式化所有 .tf 文件 terraform validate # 验证配置 terraform validate -json # CI/CD 的 JSON 输出 # 输出 terraform output # 显示所有输出 terraform output # 显示特定输出 terraform output -json # JSON 输出 # 工作区 terraform 工作空间列表 # 列出工作空间 terraformworkspacenew# 创建工作空间 terraformworkspace select # 切换工作空间 terraformworkspacedelete# 删除工作空间 ## 生产部署清单 * S3后端配置加密 * 启用状态锁定（本机 S3 或 DynamoDB） * 团队成员之间共享远程状态 * 固定在“required_providers”中的提供程序版本 * 使用验证规则定义的变量 * 敏感变量标记为 `sensitive = true` * 存储在 AWS Secrets Manager 中的密钥（未硬编码） * 提供者配置的默认标签 * 资源命名遵循一致的模式 * VPC使用私有子网来存储敏感资源 * 安全组遵循最小权限原则 * IAM角色使用最小权限原则 * 为关键资源启用 CloudWatch 日志记录 * 配置备份和保留策略 * `terraform fmt` 和 `terraform validate` 通过 * 状态文件存储在版本控制的S3存储桶中 * `.gitignore` 中的 `.terraform/` 和 `*.tfstate` ** ** **Terraform 版本**：1.11+ **AWS 提供商**：6.x **最佳实践**：遵循 AWS 架构完善的框架 **最后更新**：2025 年 11 月

地形AWS

包含技能