使用 Terraform 管理基础设施的环境特定属性 [关闭]

Question

（Originally posted DevOps 但那个空间似乎不那么活跃了。）

TL;TR：假设有使用 Terraform 编码的 Web 服务器基础架构的开发、阶段和生产环境。如何确保每个环境使用不同的 SSL 证书（在 Azure 上）在不同的域上运行？

---

基本上，我已经学会了这些ways to manage Terraform states：

1. 通过Terraform workspaces隔离
2. 通过文件布局隔离

对于每个环境（开发、阶段、产品），在 AWS、Azure 等上都有一个专用帐户。

我还了解了沙盒环境的重要性，并在本地为manual testing the infrastructure code 提供了专用帐户。我还阅读了一些关于 role of reusable Terraform modules 以及像 Terragrunt for working with multiple Terraform modules, and managing remote state 这样的助手的文章。

我想我已经很好地掌握了所有这些难题如何融入使用基础架构但在代码级别的大局。

我缺少的是如何在开发、测试和生产工作流以及使用不同环境的上下文中设计基础架构的详细方面。

例如，让我们考虑一个简单的基础设施，包括：

1. 单个虚拟网络（带有必要的子网等）
2. 具有（公共 IP）的 Web 服务器
3. 带有（可从 Web 服务器访问的私有 IP）的数据库服务器

并在单个 main.tf 中使用 Terraform 进行配置。 terraform apply 具有魔力，将所有资源部署到我的 (Azure) 帐户，并使 Web 服务器可通过 example.com 访问。

我知道如何重构我的基础架构代码，以引入应用上述最佳实践的开发、阶段和生产环境。

我不知道如何处理特定于环境的变量，尤其是对于网络而言。也就是说，对于每个 dev、stage 和 prod 环境：

1. 在哪里保存各种秘密，尤其是对于开发和舞台？
2. 如何管理 DNS/FQND 设置？显然，所有环境不能共享同一个example.com。
3. 如何处理 SSL 证书？
4. 如何处理带有开发或阶段特定数据的预加载数据库？

大概是通过某种形式的参数化处理的。

• 为此建议使用哪些 Terraform 技术？
• 每个环境目录的 variables.tf 和 .tfvars（或具有自定义帮助脚本或 Makefile 的等效环境变量）文件是不错的选择吗？

Answer 1

在我的项目中，我将所有局部变量存储到一个文件local-variables.tf，其结构类似于：

locals {
  database_ip = {
    staging = xxx.xxx.xxx.xxx
    production = xxx.xxx.xxx.xxx

  }
  ssl_cert = {
    staging = <staging_path>
    production = <production_path

  }
}

然后，您可以引用变量local.database_ip[terraform.workspace] 请注意，局部变量的每个对象的键应反映您的 terraform 环境的名称。