基于Terraform的Equinix Express Route资源Azure Pipeline独立部署咨询

一、Azure Pipeline参数化配置实现按需操作 #

要实现独立部署并支持按需执行初始化、计划、应用、销毁操作，首先在Pipeline中添加参数化选择项，同时禁用自动触发确保手动按需执行。以下是完整的Pipeline YAML示例：

parameters:
  - name: terraformOperation
    displayName: 选择Terraform操作
    type: string
    default: 'plan'
    values:
      - 'init'
      - 'plan'
      - 'apply'
      - 'destroy'

# 禁用自动触发，仅手动启动
trigger: none

pool:
  vmImage: 'ubuntu-latest'

steps:
  # 安装指定版本Terraform
  - task: TerraformInstaller@0
    inputs:
      terraformVersion: '1.5.0'

  # 仅当选择init时执行
  - script: |
      terraform init -backend-config="backend.tfvars"
    displayName: 'Terraform 初始化'
    condition: eq('${{ parameters.terraformOperation }}', 'init')

  # plan和apply操作都需要先执行计划
  - script: |
      terraform plan -var-file="variables.tfvars" -out=tfplan
    displayName: 'Terraform 生成执行计划'
    condition: or(eq('${{ parameters.terraformOperation }}', 'plan'), eq('${{ parameters.terraformOperation }}', 'apply'))

  # 仅当选择apply时执行，基于之前生成的计划文件
  - script: |
      terraform apply -auto-approve tfplan
    displayName: 'Terraform 应用配置'
    condition: eq('${{ parameters.terraformOperation }}', 'apply')

  # 仅当选择destroy时执行销毁
  - script: |
      terraform destroy -var-file="variables.tfvars" -auto-approve
    displayName: 'Terraform 销毁资源'
    condition: eq('${{ parameters.terraformOperation }}', 'destroy')

配置说明 #

• 通过parameters定义操作选择下拉框，用户手动触发Pipeline时可按需选择操作
• 每个步骤通过condition控制是否执行，避免冗余操作
• plan操作生成的tfplan文件会被apply复用，确保执行内容和预览一致

二、Terraform状态文件工作机制 #

Terraform的状态文件（terraform.tfstate）是核心元数据存储，记录已部署资源的ID、属性、依赖关系等信息，相当于Terraform的"资源账本"。针对独立部署的模块，需注意：

1. 使用独立状态存储：必须将该模块的状态与其他资源分开，建议用Azure Blob Storage作为远程后端，为该模块单独分配容器或存储路径，示例backend.tf配置：

   terraform {
     backend "azurerm" {
       resource_group_name  = "tf-state-resource-group"
       storage_account_name = "tfstatestorageaccount"
       container_name       = "equinix-er-module-state"
       key                  = "terraform.tfstate"
     }
   }
   

2. 状态文件的作用：
   • Terraform通过状态文件识别哪些资源需要创建/更新/销毁
   • 避免重复创建资源，确保操作幂等性
   • 存储敏感属性（如密钥、连接字符串），需确保存储后端开启加密和权限控制

三、与先前部署资源的依赖关系处理 #

如果该模块依赖已部署的资源（如Azure VNet、资源组），有两种安全的处理方式：

1. 数据源引用现有资源 #

直接从Azure云环境中读取已存在资源的属性，无需依赖其他Terraform状态：

data "azurerm_resource_group" "existing_rg" {
  name = "pre-deployed-rg"
}

data "azurerm_virtual_network" "existing_vnet" {
  name                = "pre-deployed-vnet"
  resource_group_name = data.azurerm_resource_group.existing_rg.name
}

# 基于现有VNet创建Express Route网关
resource "azurerm_express_route_gateway" "er_gateway" {
  name                = "er-gateway"
  resource_group_name = data.azurerm_resource_group.existing_rg.name
  location            = data.azurerm_resource_group.existing_rg.location
  virtual_network_id  = data.azurerm_virtual_network.existing_vnet.id

  sku {
    name     = "Standard"
    capacity = 2
  }
}

2. 远程状态引用其他Terraform模块 #

如果依赖的资源也是通过Terraform部署的，可以直接读取其远程状态文件的输出值：

data "terraform_remote_state" "existing_infra" {
  backend = "azurerm"
  config = {
    resource_group_name  = "tf-state-resource-group"
    storage_account_name = "tfstatestorageaccount"
    container_name       = "existing-infra-state"
    key                  = "terraform.tfstate"
  }
}

resource "azurerm_express_route_gateway" "er_gateway" {
  name                = "er-gateway"
  resource_group_name = data.terraform_remote_state.existing_infra.outputs.resource_group_name
  location            = data.terraform_remote_state.existing_infra.outputs.resource_group_location
  virtual_network_id  = data.terraform_remote_state.existing_infra.outputs.virtual_network_id

  sku {
    name     = "Standard"
    capacity = 2
  }
}

两种方式都能保持模块独立性，不会修改或影响先前部署资源的状态。

四、额外注意事项 #

• 权限控制：确保Pipeline服务主体拥有Equinix API权限、Azure资源管理权限、状态存储账户的读写权限
• 敏感变量管理：将Equinix API密钥、Azure订阅ID等敏感值存入Azure Pipeline变量组，禁止硬编码
• 销毁操作防护：建议为destroy操作添加手动审批步骤，避免误删资源，示例：

  - stage: DestroyApproval
    displayName: '销毁操作审批'
    condition: eq('${{ parameters.terraformOperation }}', 'destroy')
    jobs:
    - job: Approval
      pool: server
      steps:
      - task: ManualValidation@0
        inputs:
          notifyUsers: 'admin@yourcompany.com'
          instructions: '确认是否要销毁Equinix Express Route相关资源'
          timeoutInMinutes: 30
  

内容的提问来源于stack exchange，提问作者Deepika