Terraform

核心用法

本 Skill 聚焦 Terraform 基础设施即代码（IaC）的高阶使用技巧，系统梳理了从状态管理到模块设计的 7 大核心领域：

1. 状态管理：强制使用远程后端（S3/GCS/Terraform Cloud）替代本地 state，启用 DynamoDB 等状态锁定机制防止并发冲突；严禁手动编辑 state，需通过 terraform state mv/rm/import 操作。

2. Count vs for_each：明确区分 count（索引驱动，删除会导致连锁重建）与 for_each（键稳定，适合动态资源），后者需配合 toset() 转换列表。

3. 生命周期规则：涵盖 prevent_destroy（防误删）、create_before_destroy（零停机部署）、ignore_changes（忽略外部漂移）及 replace_triggered_by（强制重建触发器）。

4. 依赖管理：强调隐式依赖（资源引用）与显式 depends_on 的适用场景，特别指出数据源在 plan 阶段即执行可能引发的时序问题。

5. 模块与变量：强制版本锁定、显式类型约束、敏感标记及校验块，避免 "any" 类型滥用；模块输出需逐层透传。

6. 常见陷阱：包括 destroy 不可逆、plan≠apply 成功保障、重命名资源需用 moved 块或 state mv、避免 provisioners 等。

7. 导入机制：支持 CLI import 与 TF 1.5+ 声明式 import 块，需手工匹配配置后验证。

显著优点

• 事故预防导向：针对状态损坏、并发冲突、误删等高频故障提供明确规避方案
• 版本特性覆盖：包含 Terraform 1.5+ 的 import 块等新特性
• 工程实践深度：超越基础语法，聚焦团队协作与生产环境稳定性

潜在局限性

• 依赖 Terraform CLI 环境，对 Cloud/Enterprise 版本差异未详细区分
• 未涉及 Terraform Cloud/Enterprise 特有的团队权限、成本估算等企业级功能
• 部分建议（如 "禁用 provisioners"）需配合外部配置管理工具（Ansible/Cloud-init）才能实现完整工作流

适合人群

• 已掌握 Terraform 基础、需规避生产陷阱的中高级用户
• 平台/SRE 工程师负责制定团队 IaC 规范
• 从个人实验向团队协作迁移的 Terraform 使用者

常规风险

• 状态安全风险：state 文件明文存储密钥，需配合后端加密与 IAM 管控
• 执行风险：terraform destroy 无回滚机制，-target 误操作可能导致依赖资源级联删除
• 版本锁定风险：模块版本未 pin 可能导致非预期破坏性更新

核心用法

本 Skill 是一份 Terraform 避坑指南，系统梳理了基础设施即代码（IaC）实践中的高频错误与解决方案：

状态管理：强调远程状态后端（S3/GCS/Terraform Cloud）的必要性，配合 DynamoDB 等实现状态锁定，避免多人协作时的状态冲突与数据丢失。严禁手动编辑状态文件，推荐使用 terraform state mv/rm/import 等官方命令操作。

资源编排模式：对比 count 与 for_each 的适用场景——count 依赖索引会导致资源重建连锁反应，for_each 基于键值稳定且可精准控制单资源生命周期。模块版本必须显式锁定，通过 terraform init -upgrade 可控升级。

生命周期与依赖：详解 prevent_destroy、create_before_destroy、ignore_changes、replace_triggered_by 四类元参数的攻防场景；区分隐式依赖（资源引用自动建立）与显式 depends_on 的适用边界。

数据与导入：数据源在 plan 阶段执行，需确保依赖资源已存在；terraform import 仅同步状态不生成配置，TF 1.5+ 的 import 块提供声明式导入能力。

显著优点

• 场景覆盖完整：从状态安全、变量校验到模块设计、灾难恢复，形成闭环知识体系
• 命令与配置并重：不仅给出配置建议，还提供 state mv、moved 块等具体操作路径
• 版本敏感：提及 TF 1.5+ 的 import 块等新特性，具备一定时效性
• 纯文档零风险：无可执行代码，无网络请求，无数据收集

潜在局限

• 来源可信度 T3：个人开发者/社区项目，未绑定官方或企业维护主体，长期更新存在不确定性
• 无动态验证：文档建议需结合用户实际 Terraform 版本与云提供商 API 行为验证
• 深度有限：部分高级场景（如大规模状态分割、Terraform Cloud 企业级权限模型）未展开

适合人群

• 刚接触 Terraform 的 DevOps/平台工程师，需快速建立避坑意识
• 团队中负责制定 IaC 规范的 Tech Lead，可转化为内部 Checklist
• 已有 Terraform 项目需审计现有配置、迁移至更佳实践的技术负责人

常规风险

• 误操作风险：terraform destroy 不可逆，-target 参数使用不当可能误删生产资源
• 状态漂移：ignore_changes 过度使用会掩盖真实配置漂移
• 敏感信息泄露：状态文件明文存储 secrets，需配合后端加密与访问控制
• 版本锁定风险：模块版本过旧可能错过安全补丁，升级前需充分测试