基于Monorepo与GitHub Action实现Terraform子目录精准部署

能否仅对变更的子目录执行terraform apply？ #

完全可以，不需要遍历所有子目录执行全量apply。通过Git的变更文件检测，就能精准定位到被修改的Terraform工作目录，只对该目录执行对应操作。

比如修改了terraform/cloud-composer/main.tf，可以通过git diff --name-only命令获取变更文件路径，匹配到对应的terraform/cloud-composer目录，仅在这个目录下运行terraform init（若依赖有更新）和terraform apply即可。

当前按子目录拆分的思路是否合理？ #

这个思路是合理的，核心优势包括：

• 状态隔离：每个基础设施组件的Terraform状态独立，避免单个组件的变更意外影响其他基础设施；
• 职责清晰：不同团队可以负责不同子目录的代码，便于权限管控和分工；
• 风险可控：单个组件的部署失败不会阻塞其他组件的正常运行。

但如果没有配套的自动化变更检测机制，手动执行全量apply会非常冗余，还容易引发不必要的风险。

更优方案建议 #

1. CI/CD流水线自动化检测与执行 #

在CI/CD流程中加入变更检测逻辑，自动识别需要更新的Terraform工作目录，仅执行对应组件的部署。示例脚本如下：

# 获取当前分支与基准分支（如main）的差异文件列表
CHANGED_FILES=$(git diff --name-only main...HEAD)

# 遍历所有Terraform工作目录
for tf_dir in terraform/*/; do
  # 去除目录末尾的斜杠，便于匹配
  dir_path=${tf_dir%/}
  # 检查是否有变更文件属于当前目录
  if echo "$CHANGED_FILES" | grep -q "^$dir_path/"; then
    echo "开始部署组件：$dir_path"
    cd "$dir_path"
    # 初始化Terraform（若使用远程状态，可添加-lock=false等参数）
    terraform init -input=false
    # 自动执行apply（生产环境建议先跑plan确认后再手动触发apply）
    terraform apply -auto-approve -input=false
    cd -
  fi
done

如果涉及modules目录的变更，还需要额外检测哪些工作目录引用了修改的模块，对这些目录也执行部署。

2. 独立远程状态存储 #

每个Terraform工作目录配置独立的远程状态存储（比如AWS S3+DynamoDB、GCS等），避免本地状态文件混乱，同时支持状态锁定，防止多人并发执行apply导致的状态冲突。

3. 依赖关系管理 #

如果组件之间存在强依赖（比如datalake依赖network的资源），可以在CI流程中添加依赖校验逻辑：当依赖组件的代码变更时，自动触发所有依赖它的组件的部署。不过这种场景要谨慎，避免不必要的连锁更新，建议先通过terraform plan确认影响范围后再执行。

内容的提问来源于stack exchange，提问作者p.magalhaes