Module 模块复用

这一课你将能做到

1. 说清楚模块解决什么问题，识别根模块、子模块和注册表模块
2. 自己写一个带变量和输出的本地模块，并在根模块中调用
3. 正确使用官方 AWS VPC 模块，知道模块版本、源码来源和重构时的 state 迁移

为什么要学

当你的 .tf 文件超过几百行，VPC、EC2、RDS 的配置全挤在一起，改一处要翻半天。多个项目都要一套「标准网络」，复制粘贴很快失控——和代码里复制工具类一样。模块就是 Terraform 的「函数/类」：把一组资源打包，定义输入（variables）和输出（outputs），对外只暴露接口。团队会沉淀自己的模块库，AWS 官方和社区模块（如 terraform-aws-modules）是日常开发的重要基石，必须会用、会写、会选。

人话：模块像宜家的成品柜——你不用从木头开始打，告诉它「要几层、什么颜色」（输入变量），它给你柜子并告诉你抽屉尺寸（输出）。整个基础设施就是这些柜子组合起来的。

先建立图像

模块的三种来源和层级：

根模块（root module）：你执行命令的目录
  └─ 子模块：module 块调用
        ├─ 本地路径：./modules/network
        ├─ Git 地址：git::https://github.com/org/tf-modules//network
        └─ 注册表：  terraform-aws-modules/vpc/aws（含版本号）

调用形式：

module "network" {
  source = "./modules/network"   # 必填
  # 其余都是传给子模块的变量
  cidr = "10.0.0.0/16"
}
# 引用子模块输出：module.network.vpc_id

跟着做

步骤 1：写一个本地安全组模块

新建目录结构：

modules-demo/
├── main.tf
└── modules/
    └── sg/
        ├── main.tf
        ├── variables.tf
        └── outputs.tf

modules/sg/variables.tf：

variable "name" {
  type = string
}

variable "vpc_id" {
  type = string
}

variable "ingress_ports" {
  type = list(number)
}

modules/sg/main.tf：

resource "aws_security_group" "app" {
  name        = var.name
  description = "由模块创建：${var.name}"
  vpc_id      = var.vpc_id

  dynamic "ingress" {
    for_each = var.ingress_ports
    content {
      from_port   = ingress.value
      to_port     = ingress.value
      protocol    = "tcp"
      cidr_blocks = ["0.0.0.0/0"]
    }
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

dynamic 块按端口列表动态生成多个 ingress 规则，这是模块里处理「数量不固定」的标准手法。

modules/sg/outputs.tf：

output "sg_id" {
  value = aws_security_group.app.id
}

步骤 2：在根模块调用

main.tf：

terraform {
  required_version = ">= 1.7.0"
}

provider "aws" {
  region = "ap-northeast-1"
}

module "app_sg" {
  source        = "./modules/sg"
  name          = "springboot-sg"
  vpc_id        = "vpc-0123456789abcdef0"
  ingress_ports = [22, 8080]
}

output "security_group_id" {
  value = module.app_sg.sg_id
}