Terraform 使用步驟

Terraform 的使用流程分為四個(gè)步驟：

1. 編寫基礎(chǔ)設(shè)施模板文件

   首先，您必須在模板文件中定義并以代碼的形式編寫您的基礎(chǔ)設(shè)施。模板文件向 Terraform 描述了您想要配置的資源。

2. 生成執(zhí)行計(jì)劃

   運(yùn)行 Terraform Plan 命令生成您期望的狀態(tài)的執(zhí)行計(jì)劃。

3. 運(yùn)行執(zhí)行計(jì)劃

   運(yùn)行 Terraform Apply 執(zhí)行該計(jì)劃來構(gòu)建模板中所描述的基礎(chǔ)設(shè)施。

4. 變更配置，繼續(xù)增量執(zhí)行

   隨著模板內(nèi)容的變化，Terraform 可以確定哪些變化了，并且創(chuàng)建可以運(yùn)行的增量執(zhí)行計(jì)劃。

Terraform 安裝

Terraform 已經(jīng)預(yù)先安裝在阿里云 Cloud Shell 上了，您也可以通過二進(jìn)制包安裝的方式或者使用不同操作系統(tǒng)的包管理器將其安裝在本地機(jī)器上。

例如，您想要在 Windows 機(jī)器上手動(dòng)安裝 Terraform：首先，通過 Terraform 下載地址下載與您的系統(tǒng)要求相符的軟件包，解壓軟件包。Terraform 包中包括一個(gè)叫做 terraform 的單獨(dú)二進(jìn)制文件。編輯PATH變量，將 Terraform 包含進(jìn)去，然后在新終端輸入terraform -help來驗(yàn)證安裝。

更多安裝方式，詳見Terraform 安裝。

Terraform 身份認(rèn)證

對(duì) Terraform 的身份認(rèn)證指的是在通過 Terraform 操作阿里云基礎(chǔ)設(shè)施前對(duì)阿里云 Terraform Provider 的身份認(rèn)證，只有認(rèn)證通過后才能與阿里云 API 進(jìn)行通信并創(chuàng)建和管理阿里云的基礎(chǔ)設(shè)施資源。

阿里云 Terraform Provider 的身份認(rèn)證方式有很多種，選擇不同的認(rèn)證方式一方面依賴于 Terraform 安裝和運(yùn)行所在的環(huán)境，另一方面取決于您的使用場景。此處主要介紹通過環(huán)境變量設(shè)置身份認(rèn)證的方式，更多認(rèn)證方式，詳見Terraform 身份認(rèn)證。

• 如果您在本機(jī)上運(yùn)行 Terraform您首先得需要一個(gè)阿里云 RAM 用戶，并為該用戶創(chuàng)建身份認(rèn)證信息 AccessKey ID和AccessKey Secret。登錄阿里云 RAM 控制臺(tái)的用戶頁面，選擇一個(gè)現(xiàn)有用戶或創(chuàng)建一個(gè)新用戶，并為其創(chuàng)建AccessKey。然后通過使用環(huán)境變量 ALICLOUD_ACCESS_KEY 和 ALICLOUD_SECRET_KEY 進(jìn)行身份設(shè)置，設(shè)置成功后，Terraform 將使用這個(gè)密鑰進(jìn)行認(rèn)證。

export ALICLOUD_ACCESS_KEY="<AccessKey ID>"
export ALICLOUD_SECRET_KEY="<AccessKey Secret>"

• 如果您在 Cloud Shell 上運(yùn)行 Terraform

  阿里云的 Cloud Shell 對(duì) Terraform 是預(yù)認(rèn)證過的。Cloud Shell 是一個(gè)計(jì)算引擎虛擬機(jī)，身份憑證是自動(dòng)的，即當(dāng)您登錄 Cloud Shell 后，將以您的登錄身份自動(dòng)設(shè)置環(huán)境變量 ALICLOUD_ACCESS_KEY 和 ALICLOUD_SECRET_KEY，您無需再單獨(dú)設(shè)置。

• 如果您在阿里云 ECS 實(shí)例上運(yùn)行 Terraform

  在阿里云 ECS 實(shí)例上手動(dòng)設(shè)置環(huán)境變量 ALICLOUD_ACCESS_KEY 和 ALICLOUD_SECRET_KEY 后，Terraform 即可使用這個(gè)密鑰進(jìn)行認(rèn)證。但是從安全性考慮，在阿里云 ECS 上運(yùn)行 Terraform 時(shí)，推薦使用ECS 服務(wù)角色認(rèn)證方式。

• 如果您在阿里云 ACK 容器中運(yùn)行 Terraform

  在 Dockerfile 中預(yù)設(shè)置環(huán)境變量 ALICLOUD_ACCESS_KEY 和 ALICLOUD_SECRET_KEY，每當(dāng)新容器創(chuàng)建后，Terraform 即可使用這個(gè)密鑰進(jìn)行認(rèn)證。但是從安全性考慮，在阿里云 ACK 容器中運(yùn)行 Terraform 時(shí)，推薦使用OIDC 角色扮演（AssumeRoleWithOIDC）認(rèn)證方式。

• 如果您在阿里云外的機(jī)器上運(yùn)行 Terraform

  在阿里云外的機(jī)器上手動(dòng)設(shè)置環(huán)境變量 ALICLOUD_ACCESS_KEY 和 ALICLOUD_SECRET_KEY 后，Terraform 即可使用這個(gè)密鑰進(jìn)行認(rèn)證。

使用案例

讓我們通過創(chuàng)建一個(gè)簡單的 VPC 網(wǎng)絡(luò)來進(jìn)一步加深對(duì) Terraform 工作流的理解。

首先，創(chuàng)建一個(gè)帶有 .tf 擴(kuò)展名的配置文件，然后在文件中定義阿里云作為提供商，添加 HCL 代碼以創(chuàng)建一個(gè)阿里云 VPC 網(wǎng)絡(luò)實(shí)例。保存代碼后，切換到保存文件的目錄，運(yùn)行 terraform init 初始化阿里云提供商，運(yùn)行 terraform plan 和 terraform apply 命令依次生成執(zhí)行計(jì)劃并應(yīng)用。運(yùn)行完 terraform apply 后，將在阿里云上創(chuàng)建一個(gè)名為 mian-vpc 的 VPC 網(wǎng)絡(luò)。