CI 中的 Terraform

这一课你将能做到

1. 在流水线里串起 fmt、validate、init、plan、apply 的标准作业链
2. 用工作区（workspace）和环境变量在 CI 中区分 dev/prod，并理解审批门怎么设
3. 配置定期漂移检测，看懂 plan 非零退出码在自动化里的含义

为什么要学

Terraform 最终不会只跑在你自己电脑上：多人协作时，每个人的本机环境、版本、凭证都不同，把 apply 收进 CI 才有统一的执行环境、完整的日志和谁在什么时候改了什么的审计记录。成熟团队的标配是：合并前 PR 自动跑 plan 贴在评论里，合并后人工点按钮 apply，每天凌晨再跑一次 plan 做漂移检测。这一课给你可以直接落地的流水线骨架，GitHub Actions 和 GitLab CI 各来一份。

人话：本机 apply 像自己在家炒菜，咸淡随缘、没人看见；CI 流水线像中央厨房——摄像头全程录像、上菜前有人尝咸淡（plan 审批）、每天还检查各门店有没有偷改配方（漂移检测）。

先建立图像

标准流水线阶段：

代码推送 / Pull Request
        │
        ▼
fmt -check ──► validate ──► init ──► plan（产出计划，人工评审）
                                         │
                                   合并 + 审批门
                                         ▼
                                   apply（执行计划文件）
                                         │
                                   定时 cron：plan -detailed-exitcode（漂移检测）

退出码约定（自动化全靠它）：

命令	退出码	含义
plan 普通	0 成功 / 非 0 失败	—
plan -detailed-exitcode	0 无差异	1 出错
plan -detailed-exitcode	2 有差异	漂移检测就看它

跟着做

步骤 1：本地先跑通质量三连

在任一 Terraform 项目目录：

terraform fmt -check -recursive
terraform init -backend=false
terraform validate

• fmt -check 只检查不改文件，格式不规范就返回非零（本机想自动修就去掉 -check）
• init -backend=false 只装 provider 不碰后端，CI 校验阶段常用
• validate 查语法和引用错误，但不检查凭证和云上状态

建议把这三行配成提交前钩子或 IDE 保存动作，问题不过夜。

步骤 2：GitHub Actions 骨架

在仓库建 .github/workflows/terraform.yml：

name: terraform

on:
  pull_request:
  push:
    branches: [main]

permissions:
  contents: read
  pull-requests: write
  id-token: write   # 用 OIDC 换取云凭证，不存长期 AK/SK

jobs:
  terraform:
    runs-on: ubuntu-latest
    defaults:
      run:
        working-directory: infra

    steps:
      - uses: actions/checkout@v4

      - uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: "1.7.*"

      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/gh-actions-tf
          aws-region: ap-northeast-1

      - name: fmt
        run: terraform fmt -check -recursive

      - name: validate
        run: |
          terraform init -backend=false
          terraform validate

      - name: plan
        id: plan
        run: |
          terraform init
          terraform plan -out=tfplan -var-file=envs/dev.tfvars

      - name: apply（仅 main 分支）
        if: github.ref == 'refs/heads/main'
        run: terraform apply tfplan