新云租户中Terraform运行位置咨询：安全合规的IaC部署方案

不需要手动创建虚拟机来部署Terraform，以下是几种符合安全要求且全程IaC的方案：

1. Azure DevOps自托管代理Pipeline #

• 先用ARM模板或Bicep完全以代码方式部署自托管代理基础设施：
  • 用Packer+IaC构建预装Terraform、Azure CLI的自定义VM镜像，推送到Azure Compute Gallery
  • 编写Bicep模板部署VM，自动注册为Azure DevOps自托管代理池的节点
• 把Terraform代码托管在Azure Repos（或私有Git仓库），配置Pipeline：
  • 触发后由Azure内部的代理执行terraform init/plan/apply
  • 所有操作都在Azure网络内完成，完全规避外部环境风险

2. Azure Container Apps Terraform Runner #

• 用Bicep部署Azure Container Apps环境，同时部署包含Terraform CLI的自定义容器：
  • 容器镜像通过Azure Container Registry任务（IaC定义）构建，全程在Azure内部完成
  • 配置Container Apps的VNet集成和网络策略，禁止公网访问，仅允许和Azure资源通信
• 触发部署时，通过Azure CLI或内部API调用启动Runner容器，执行完Terraform命令后可自动销毁实例

3. Azure Functions + Terraform层 #

• 构建自定义Azure Function，通过Function Layer部署Terraform二进制文件：
  • 用Bicep模板部署Function App、存储账户、VNet集成等所有资源，无手动操作
  • 为Function配置内部触发方式（如专用HTTP端点、事件网格），确保仅内部可调用
• 触发后Function执行Terraform部署逻辑，所有操作都在Azure内部网络中运行

4. 受限模式下的Azure Cloud Shell #

• 为Cloud Shell的托管身份配置最小权限RBAC角色，仅允许部署指定资源
• 将Terraform代码存储在Azure私有Blob容器中，通过Cloud Shell内部访问执行
• 配合Azure Policy限制Cloud Shell的操作范围，避免违规操作

核心要点 #

• 所有基础初始化资源（代理、容器环境等）必须用ARM/Bicep以IaC方式部署，杜绝手动操作
• 启用Azure Blob存储作为Terraform远程状态后端，并开启状态锁，保证状态安全
• 遵循最小权限原则，给执行Terraform的身份配置刚好够用的RBAC权限

内容的提问来源于stack exchange，提问作者HelmBurger