对于一台服务器来说，在云控制台周围单击就可以了。当您在暂存和生产中需要相同的设置时，或者当有人询问谁在去年三月更改了防火墙规则时，它就会崩溃。这个 Terraform 初学者教程 向您展示了一种更好的方法：用代码描述您的基础设施，并让工具使其成为现实。

大多数教程都是从云帐户开始，这会在您学到任何东西之前增加计费风险。我们从 Terraform 的 local 提供程序开始，它只是在您的计算机上创建文件，因此错误不会造成任何损失。这些示例和示例输出是标准插图，我们没有为本文执行这些示例，确切的措辞因版本而异。

什么是 Terraform？

Terraform 是 HashiCorp 的基础设施即代码 (IaC) 工具。您可以使用 HCL（HashiCorp 配置语言）编写配置文件，描述您想要的最终结果。然后，Terraform 计算出要创建、更改或删除哪些内容才能实现这一目标。

它通过名为 providers 的插件与平台进行通信。有适用于 AWS、Azure、Google Cloud、Kubernetes、GitHub、Cloudflare 等的提供商，因此您可以在所有这些提供商之间使用一种工作流程。

需要知道的一件事是：2023 年，HashiCorp 将 Terraform 移至商业源代码许可证。随后，社区创建了 OpenTofu，这是一个使用非常相似的命令和配置的开源分支。您在这里学到的内容很大程度上适用于两者。

为什么基础设施即代码？

Terraform 也是声明性的。您说“应该有三个服务器”，而不是“创建一个服务器，三次”。如果已经存在两个，则添加一个。一个简单地重复其步骤的脚本最终可能会创建另外三个步骤。

安装 Terraform

使用适用于您的操作系统的 HashiCorp 官方说明安装它，然后确认它是否有效：

terraform -version

为项目创建一个空文件夹。 Terraform 读取当前文件夹中的每个 .tf 文件，因此一个文件夹等于一个配置。

您的第一个配置

创建一个名为main.tf的文件：

terraform {
  required_providers {
    local = {
      source  = "hashicorp/local"
      version = "~> 2.5"
    }
  }
}

resource "local_file" "greeting" {
  filename = "${path.module}/hello.txt"
  content  = "Hello from Terraform\n"
}

查看 resource 块，因为您编写的几乎所有内容都遵循此形状。 local_file 是资源类型，greeting 是您在配置中为其指定的名称。它们共同构成其地址：local_file.greeting。里面的参数描述了你想要什么。

工作流程：初始化、计划、应用

地形初始化

这将准备文件夹并下载您所需的提供程序。在开始时运行一次，并在添加提供程序或模块时再次运行。它还创建一个 .terraform.lock.hcl 文件，其中记录了确切的提供程序版本。将该文件提交到 Git。

terraform init

地形计划

这会将您的代码与现有代码进行比较并显示计划的更改，而不触及任何内容：

terraform plan

# local_file.greeting will be created
+ resource "local_file" "greeting" {
    + content  = "Hello from Terraform\n"
    + filename = "./hello.txt"
  }

Plan: 1 to add, 0 to change, 0 to destroy.

学习符号，因为你会读到很多计划：

地形应用

这会再次显示计划，要求确认并进行更改：

terraform apply

输入 yes，然后出现 hello.txt。现在再次运行terraform plan。它应该报告没有任何更改，因为现实已经与您的代码匹配。重复运行该属性不会导致进一步的更改，该属性称为幂等性。

改变与破坏

编辑 content 行并运行 terraform plan。 Terraform 发现了差异并提出了更改。对于此资源，它会替换文件。请注意实际基础设施上的替换，因为重新创建数据库可能意味着丢失数据。

接下来，手动删除hello.txt并重新规划。 Terraform 注意到它丢失并提出重新创建它。代码与现实之间的差异称为漂移，检测它是该工具的主要优点之一。

要删除此配置管理的所有内容，请运行：

terraform destroy

变量和输出

硬编码值会阻止您重用代码。输入变量使配置灵活，输出报告有用的值：

# variables.tf
variable "environment" {
  type        = string
  description = "Deployment environment"
  default     = "dev"

  validation {
    condition     = contains(["dev", "staging", "prod"], var.environment)
    error_message = "Use dev, staging or prod."
  }
}

# main.tf
resource "local_file" "config" {
  filename = "${path.module}/${var.environment}.txt"
  content  = "environment=${var.environment}\n"
}

# outputs.tf
output "config_path" {
  value = local_file.config.filename
}

在命令行上设置值，或将它们保存在名为 terraform.tfvars 的文件中，该文件会自动加载：

terraform apply -var="environment=staging"

在输出中使用 local_file.config.filename 也是资源相互引用的方式。 Terraform 读取这些引用来确定创建事物的正确顺序。

地形状态

申请后，你会发现一个名为terraform.tfstate的文件。这是 Terraform 对其管理内容的记录，将您的代码映射到真实对象。如果没有它，Terraform 将不知道 local_file.greeting 是该特定文件。

这里有三个规则很重要：

1. 永远不要向 Git 提交状态。它可以以纯文本形式包含密码和其他秘密。
2. 请勿手动编辑。使用terraform state list和terraform state mv等命令。
3. 为团队项目使用远程后端。共享后端集中存储状态并锁定它，因此两个人不能同时申请。

以下是使用 Amazon S3 的典型后端，其中包含您提前创建的存储桶：

terraform {
  backend "s3" {
    bucket       = "my-company-terraform-state"
    key          = "shop/prod/terraform.tfstate"
    region       = "ap-south-1"
    encrypt      = true
    use_lockfile = true
  }
}

真正的云资源

当您迁移到云时，工作流程不会改变。这是 AWS 上的 S3 存储桶。首先检查定价，并销毁你在练习时创建的任何东西：

provider "aws" {
  region = "ap-south-1"
}

resource "aws_s3_bucket" "reports" {
  bucket = "my-unique-reports-bucket-2026"

  tags = {
    Environment = var.environment
    ManagedBy   = "terraform"
  }
}

Terraform 从您的 AWS CLI 设置或环境变量获取凭证。切勿将访问密钥写入 .tf 文件。

模块

模块只是 Terraform 文件的文件夹，您可以使用不同的输入调用它们。它的工作原理很像一个函数，让您定义一次模式并重用它：

project/
  main.tf
  modules/
    reports_bucket/
      main.tf
      variables.tf
      outputs.tf

module "staging_reports" {
  source      = "./modules/reports_bucket"
  environment = "staging"
}

module "prod_reports" {
  source      = "./modules/reports_bucket"
  environment = "prod"
}

公共 Terraform 注册表也有现成的模块，但在依赖它们之前请先阅读它们，并固定版本。不要过早构建模块。等到您将某个模式重复至少两次。

安全的团队工作流程

1. 创建一个分支并更改 .tf 文件。如果您需要复习，请参阅我们的 Git 初学者教程 。
2. 运行 terraform fmt 和 terraform validate。
3. 打开拉取请求，并附上 terraform plan 的输出以供审核。
4. 批准后，从一个受控位置（最好是管道）应用保存的计划。

保存计划可确保您准确应用已审核的内容：

terraform plan -out=tfplan
terraform apply tfplan

这自然适合 CI/CD 和 GitHub Actions。 Terraform 通常会配置集群，然后 Kubernetes 等工具在其上运行应用程序。

常见错误

• 在不阅读计划的情况下进行申请。 在数据库上进行-/+ 可能会带来非常昂贵的意外。
• 在一台笔记本电脑上保留状态。 丢失该笔记本电脑，Terraform 就会失去对您的基础设施的跟踪。
• 手动进行控制台更改。它们会导致漂移，下一次应用可能会撤消它们。
• 使用未固定的版本。固定提供程序和模块版本，以便有目的地进行升级。
• 使用一个庞大的配置。按环境或系统进行拆分可以限制任何错误的损害。

最后的话

您现在已经了解了几乎所有 Terraform 工作背后的想法：声明资源、审查计划、应用计划和保护状态。与 local 提供商一起练习，直到工作流程感觉自然，然后在免费帐户中管理一小部分实际资源。一旦涉及多个人或多个环境，就引入远程状态和模块。

常见问题

继续学习