在 Terraform 中将多个 AWS 账户作为环境处理的最佳方式是啥?

Posted

技术标签:

【中文标题】在 Terraform 中将多个 AWS 账户作为环境处理的最佳方式是啥?【英文标题】:What is the best way to handle multiple AWS accounts as environments in Terraform?在 Terraform 中将多个 AWS 账户作为环境处理的最佳方式是什么? 【发布时间】:2018-12-29 06:27:04 【问题描述】:

我们希望将我们的每个 terraform 环境都放在一个单独的 AWS 账户中,以防止意外部署到生产环境。这如何最好地完成?

【问题讨论】:

【参考方案1】:

我们假设一个帐户专用于生产,另一个帐户用于 PreProduction,并且可能其他沙盒环境也有唯一的帐户,可能是基于每个管理员的。另一个假设是,您在每个 AWS 账户中都有一个特定于您的环境的 S3 存储桶。此外,我们希望您的 AWS 账户凭证在 ~/.aws/credentials 中进行管理(或者可能使用 IAM 角色)。

Terraform 后端配置

有两种状态。对于主要状态,我们使用Partial Configuration 的概念。我们不能通过模块或其他方式将变量传递到后端配置中,因为它是在确定之前读取的。

Terraform 配置设置

这意味着我们声明后端缺少一些细节,然后将它们作为参数提供给terraform init。初始化后,它会一直设置,直到删除 .terraform 目录。

terraform 
  backend "s3" 
    encrypt = true
    key     = "name/function/terraform.tfstate"
  

工作流程注意事项

我们只需要改变我们的初始化方式。我们在terraform init 上使用-backend-config 参数。这提供了配置的缺失部分。我正在通过我的~/.bash_profile 中的 bash 别名提供所有缺失的部分,就像这样。

alias terrainit='terraform init \
-backend-config "bucket=s3-state-bucket-name" \ 
-backend-config "dynamodb_table=table-name" \
-backend-config "region=region-name"'

意外错误配置结果

如果适当的必需-backend-config 参数被遗漏,初始化将提示您输入它们。如果提供不正确,很可能会因为权限原因导致失败。此外,必须将远程状态配置为匹配,否则它也会失败。为了部署到生产环境,必须在识别适当的帐户环境时出现多个错误。

Terraform 远程状态

下一个问题是远程状态也需要改变,不能通过从后端配置拉取配置来配置;但是,可以通过变量设置远程状态。

模块设置

为了方便切换帐户,我们设置了一个非常简单的模块,它接收单个变量 aws-account 并返回一组远程状态可以使用适当值的输出。我们还可以包含其他特定于环境/帐户的内容。该模块是一个简单的main.tf,其映射变量具有aws-account 的键和特定于该帐户的值。然后我们有一堆输出,可以像这样简单地查找 map 变量。

variable "aws-region" 
  description = "aws region for the environment"
  type = "map"
  default = 
    Production  = "us-west-2"
    PP      = "us-east-2"
  


output "aws-region" 
  description = “The aws region for the account 
  value = "$lookup(var.aws-region, var.aws-account, "invalid AWS account specified")"

Terraform 配置设置

首先,我们必须将 aws-account 传递给模块。这可能会在main.tf 的顶部附近。

module "environment" 
  source    = "./aws-account"
  aws-account = "$var.aws-account"

然后将变量声明添加到您的variables.tf

variable "aws-account" 
  description = "The environment name used to identify appropriate AWS account resources used to configure remote states. Pre-Production should be identified by the string PP. Production should be identified by the string Production. Other values may be added for other accounts later."

现在我们有了从模块输出的帐户特定变量,它们可以像这样在远程状态声明中使用。

data "terraform_remote_state" "vpc" 
  backend = "s3"
  config 
    key = "name/vpc/terraform.tfstate"
    region = "$module.environment.aws-region"
    bucket = "$module.environment.s3-state-bucket-name"
  

工作流程考虑

如果在这样设置后工作流没有发生任何变化,则每当执行计划/应用等时,都会通过这样的提示提示用户提供aws-account 变量的值。提示内容为variables.tf中变量的描述。

$ terraform plan
var.aws-account
  The environment name used to identify appropriate AWS account
resources used to configure remote states. Pre-Production should be
identified by the string PP. Production should be identified by the
string Production. Other values may be added for other accounts later.

  Enter a value:

您可以像这样在命令行上提供变量来跳过提示

terraform plan -var="aws-account=PP"

意外错误配置结果

如果未指定 aws-account 变量,则会请求该变量。如果提供了 aws-account 模块不知道的无效值,它将多次返回错误,包括字符串“指定的无效 AWS 账户”,因为这是查找的默认值。如果正确传递了 aws-account,但它与 terraform init 中标识的值不匹配,则会失败,因为正在使用的 aws 凭证将无法访问正在标识的 S3 存储桶。

【讨论】:

我正在清理这个。当这不涉及您的用例或您发现一些令人困惑的地方时,请发表评论。我们真的很难将这个工作流程整齐地组合在一起。我们没有使用工作区,因为很容易错过您所在的工作区,并且 Hashicorp 的文档不建议将它们用于多个 AWS 账户情况。【参考方案2】:

我们遇到了类似的问题,我们解决了(部分)在 Jenkins 或任何其他 CI 工具中创建管道。

我们有 3 个不同的环境(dev、staging 和 prod)。相同的代码、不同的 tfvar、不同的 aws 帐户。

当 terraform 代码合并到 master 时,可以应用到 staging 并且只有当 staging 为绿色时,才能执行生产。 没有人在 prod 中手动运行 terraform,aws 凭据存储在 CI 工具中。

此设置可以解决您描述的事故,但也可以防止不同的用户应用不同的本地代码。

【讨论】:

以上是关于在 Terraform 中将多个 AWS 账户作为环境处理的最佳方式是啥?的主要内容,如果未能解决你的问题,请参考以下文章

Terraform aws 承担角色

如何使用 terraform 创建具有访问权限和密钥的 AWS IAM 服务账户

如何在Terraform中将字符串添加到变量?

用于多个项目的 Terraform 和 Gitlab CI 管道

如何将旧 S3 存储桶中的 Terraform 状态移动到新的 S3 存储桶?

在 AWS 中使用 Terraform 创建角色,并附加 SAML 提供程序