Terraform 是管理基礎設施及程式碼（IaC）最常用的工具之一，它能使我們安全且可預測地對基礎設施應用更改。

Terraform作為一個強大的基礎設施即程式碼工具，為開發人員和運維團隊提供了一種簡單而強大的方式來定義、部署和管理基礎設施。在本文中，我們將揭示Terraform的一些高效實踐， 從模組化組織到靈活變數、遠端狀態管理和函式簡化，讓您能夠以更快、更可靠的方式構建和管理基礎設施。隨著我們一起深入探索，您將發現如何透過Terraform，將複雜的基礎設施變得更加簡單易用。

Terraform 解決的問題

傳統上，基礎架構的設定和管理需要手動操作，這往往會導致不一致、配置漂移和人為錯誤。因此，要可靠地擴充套件和管理複雜的系統變得非常困難。Terraform 提供了 一種統一的、受版本控制的基礎架構管理方法，從而解決了這些難題。

Terraform 優秀實踐

使用模組組織程式碼

模組可讓您將相關資源組合在一起，並在基礎架構的不同部分重複使用。這將使你的程式碼更有條理，更易於維護。

module "network" {  source = "./modules/network"
  vpc_cidr = "10.0.0.0/16"
  public_subnet_cidrs = ["10.0.1.0/24", "10.0.2.0/24"]
  private_subnet_cidrs = ["10.0.3.0/24", "10.0.4.0/24"]
}

上面的示例使用了一個名為 “network” 的模組，該模組應具有特定的輸入變數（vpc_cidr、public_subnet_cidrs、private_subnet_cidrs），並將建立與網路相關的資源，如 VPC、子網和相關的網路元件。

在 ./modules/network 目錄中，你可以找到使用這些變數建立所需網路基礎設施的實際模組程式碼。模組程式碼將包含 Terraform 資源宣告，還可能包括其他網路特定配置。

請記住，這些程式碼的有效性取決於 ./modules/network 目錄的內容和結構。所提供的片段只是模組的用法，並不顯示模組本身的內容。

使用變數使程式碼更靈活

透過變數，您可以定義一些值，以便在修改基礎架構時輕鬆更改。這樣就可以輕鬆測試不同的配置，或將基礎架構部署到不同的環境中。

variable "vpc_cidr" {  type = string
  default = "10.0.0.0/16"}
variable "public_subnet_cidrs" {  type = list(string)  default = ["10.0.1.0/24", "10.0.2.0/24"]
}

在示例中，vpc_cidris 用於以 CIDR 符號指定 IP 地址範圍，代表 VPC 的地址空間。

public_subnet_cidrs 變數用於提供 VPC 中公共子網的 CIDR 塊列表。它允許指定多個子網配置。

這些變數宣告用於定義 Terraform 配置將使用的預期輸入型別。它們提供了 一種無需直接修改程式碼即可自定義配置行為的方法。在 Terraform 配置中使用這些變數時，可以覆蓋預設值或提供自己的值，這些值將在執行 terraform plan 和 terraform apply 命令時使用。

module "vpc" {
  source = "./modules/vpc"
  vpc_cidr = "10.0.0.0/16"
  public_subnet_cidrs = ["10.0.1.0/24", "10.0.2.0/24"]
  private_subnet_cidrs = ["10.0.3.0/24", "10.0.4.0/24"]
}module "ec2" {
  source = "./modules/ec2"
  subnet_id = module.vpc.public_subnet_ids[0]
}

在上面的例子中，vpc 模組建立了一個包含公共子網和私有子網的 VPC，ec2 模組在第一個公共子網中建立了一個 EC2 例項。ec2 模組的 subnet_id 輸入變數被設定為 module.vpc.public_subnet_ids[0]，這是 vpc 模組的輸出變數，其中包含第一個公共子網的 ID。

將一個模組的輸出作為另一個模組的輸入，可以輕鬆建立由相互連線的不同模組組成的複雜基礎設施。您還可以使用這種方法在基礎架構的不同層之間傳遞資訊，例如從網路模組向計算模組傳遞安全組 ID，或從負載平衡器模組向 DNS 模組傳遞 DNS 名稱。

需要注意的是， 引用輸出變數的語法可能會因使用的 Terraform 版本以及模組中使用的輸出變數的命名約定而有所不同。

使用 terraform “State File” 管理實踐

遠端後臺

Terraform 遠端後臺是一種允許遠端儲存 Terraform 狀態檔案（而非本地檔案系統）的機制。這樣就能在基礎架構專案上進行協作，並提供遠端狀態鎖定和加密等附加功能。

好處則是能夠提供：

協作：多個團隊成員可同時在同一個基礎架構程式碼庫上工作，從而更輕鬆地管理複雜的專案。
狀態隔離：狀態檔案與配置檔案分開儲存，降低了意外刪除或損壞的風險。
遠端操作：允許遠端執行操作（如 terraform apply），而無需直接訪問底層基礎架構。

terraform {  backend "s3" {    bucket         = "your-bucket-name"
    key            = "terraform.tfstate"
    region         = "your-preferred-region"
    dynamodb_table = "your-dynamodb-table-name"
    encrypt        = true
    role_arn       = "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"  # Replace with your IAM role ARN
  }
}

上面的示例是為 Terraform 配置遠端後端。它將允許 Terraform 使用 S3 bucket 作為儲存其狀態檔案的遠端後端，從而實現遠端操作和狀態鎖定等功能，實現安全的基礎架構管理。

後端是 Terraform 儲存其狀態檔案的地方，它可以跟蹤基礎設施的當前狀態。

如果要使用 DynamoDB 進行狀態鎖定，請將 "your-dynamodb-table-name "替換為 DynamoDB 表的名稱。

狀態鎖定

狀態鎖定是遠端後端提供的一項重要功能，可防止併發寫入 Terraform 狀態。它確保一次只能有一個人對基礎架構應用更改，從而降低了衝突和狀態檔案潛在損壞的風險。

優點在於能夠：

防止衝突：避免多個使用者同時嘗試應用更改可能產生的潛在問題。
確保狀態完整性：防止可能導致基礎設施配置不一致或不正確的競賽條件。

狀態加密

狀態加密是指對 Terraform 狀態檔案進行加密以保護敏感資訊的過程。這可確儲存儲在狀態檔案中的任何敏感資料（如密碼、訪問金鑰）保持安全。

能夠保障：

安全：保護敏感資訊，防止未經授權的訪問或暴露。
合規性：透過確保資料保護，幫助滿足監管和合規要求。

狀態版本管理

狀態版本管理包括維護 Terraform 狀態隨時間變化的歷史記錄。這樣就可以跟蹤並在需要時恢復到以前的狀態。

優勢在於：

審計和歷史記錄：提供所有更改的記錄，使您能夠檢視和了解基礎架構的演變情況。
Rollback：允許在出現錯誤或意外結果時恢復到之前的狀態

使用 Terraform 的內建函式簡化程式碼

  name = "
  type = "A"
  zone_id = aws_route53_zone.example.zone_id  alias {
    name = aws_elb.example.dns_name
    zone_id = aws_elb.example.zone_id
    evaluate_target_health = true
  }
}

總結

以上就是是使用 Terraform 優秀實踐與示例。請牢記，在上述實踐中，熟悉與您合作的雲提供商所提供的特定資源和功能，並始終在將程式碼部署到生產環境之前對其進行測試，這一點至關重要。在IT領域，不斷變化和發展是常態，而Terraform作為一種靈活、強大的基礎設施即程式碼工具，正是應對這種變化的有力助手。透過本文介紹的實踐技巧，您可以更加高效地利用Terraform來構建、部署和管理您的基礎設施。無論是模組化組織、靈活變數、遠端狀態管理還是函式簡化，都能讓您的工作更加輕鬆、可靠。

探索Terraform實踐：最佳化基礎設施管理