AWS 资源实战

这一课你将能做到

1. 用 Terraform 创建一套可运行的云上底座：VPC、子网、安全组、EC2
2. 给 Spring Boot 应用配上 RDS（MySQL）和 S3（静态资源/备份）
3. 拿到输出的连接地址，安全销毁整套环境，知道哪些配置必须替换（AMI、密钥对、唯一桶名）

为什么要学

这是前 7 课语法的总验收。把 VPC、EC2、SG、RDS、S3 五类资源跑通，AWS 上大部分中小应用你都能接得住。注意配置会真实产生 AWS 费用，练习完务必 destroy；生产还需加备份、多 AZ、告警，结尾点明。

人话：这一课就是帮你的 Spring Boot 应用「安家」——小区围墙（VPC）、门禁规则（SG）、房子（EC2）、专用仓库（RDS）和储物间（S3），一次用代码盖齐。

先建立图像

资源依赖图（决定创建顺序），文件按 versions/network/compute/database/storage/outputs 拆分：

VPC ── 公有子网 ── 安全组 ── EC2（Spring Boot 运行处）
  │                  │
  └──────────────────┴── RDS 子网组 ── RDS（MySQL，私有）
S3（独立资源，EC2 用 IAM 角色访问）

跟着做

步骤 1：版本与 provider

versions.tf：

terraform {
  required_version = ">= 1.7.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

provider "aws" {
  region = "ap-northeast-1"
}

配好凭证（aws configure 或环境变量），用 aws sts get-caller-identity 确认身份。

步骤 2：VPC 与公有子网

network.tf：

resource "aws_vpc" "app" {
  cidr_block           = "10.0.0.0/16"
  enable_dns_support   = true
  enable_dns_hostnames = true

  tags = {
    Name = "springboot-vpc"
  }
}

resource "aws_internet_gateway" "app" {
  vpc_id = aws_vpc.app.id

  tags = { Name = "springboot-igw" }
}

resource "aws_subnet" "public" {
  vpc_id                  = aws_vpc.app.id
  cidr_block              = "10.0.1.0/24"
  map_public_ip_on_launch = true
  availability_zone       = "ap-northeast-1a"

  tags = { Name = "springboot-public" }
}

resource "aws_route_table" "public" {
  vpc_id = aws_vpc.app.id

  route {
    cidr_block = "0.0.0.0/0"
    gateway_id = aws_internet_gateway.app.id
  }
}

resource "aws_route_table_association" "public" {
  subnet_id      = aws_subnet.public.id
  route_table_id = aws_route_table.public.id
}

enable_dns_hostnames 不开，EC2 没有 DNS 主机名、RDS 解析也受影响，是初学者常漏项。

步骤 3：安全组

写入 network.tf：

resource "aws_security_group" "app" {
  name        = "springboot-app-sg"
  description = "SSH 与应用端口"
  vpc_id      = aws_vpc.app.id

  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  ingress {
    from_port   = 8080
    to_port     = 8080
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_security_group" "db" {
  name        = "springboot-db-sg"
  description = "只允许应用服务器访问 MySQL"
  vpc_id      = aws_vpc.app.id

  ingress {
    from_port       = 3306
    to_port         = 3306
    protocol        = "tcp"
    security_groups = [aws_security_group.app.id]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}