基于Terraform/Terragrunt构建AWS灾备环境的部署方案咨询

1. 利用Terragrunt的条件模块调用（推荐） #

既然你已经在使用Terragrunt，完全可以在模块调用层面控制是否部署某个模块，无需修改现有Terraform模块内部代码，也就不会触发大量状态变更。

核心思路 #

通过Terragrunt的本地变量判断当前是否为灾备（DR）环境，然后在模块调用块中使用count或for_each控制模块实例的创建数量——注意这里的count是在Terragrunt的模块调用层，而非模块内部，不会影响现有模块的状态结构。

示例配置 #

在你的terragrunt.hcl中添加如下逻辑：

locals {
  # 判断当前是否为DR环境
  is_dr = get_env("TF_ENV") == "dr"
  # 加载对应环境的tfvars配置
  env_vars = read_terragrunt_config("${get_env("TF_ENV")}.tfvars")
}

# 1. 仅在DR环境部署的专属模块
module "dr_specific" {
  source = "./modules/dr-exclusive"
  count  = local.is_dr ? 1 : 0

  # 传递DR环境专属配置
  dr_endpoint = local.env_vars.inputs.dr_endpoint
  # 其他参数...
}

# 2. 非DR环境部署、DR环境跳过的模块
module "non_dr_service" {
  source = "./modules/existing-app"
  count  = local.is_dr ? 0 : 1

  # 复用原有环境的配置
  app_version = local.env_vars.inputs.app_version
  # 其他参数...
}

# 3. 所有环境都部署，但DR环境使用不同配置的模块
module "shared_infra" {
  source = "./modules/shared-network"
  
  # 根据环境切换配置参数
  vpc_cidr = local.is_dr ? "10.10.0.0/16" : local.env_vars.inputs.vpc_cidr
  subnet_count = local.is_dr ? 2 : local.env_vars.inputs.subnet_count
  # 其他参数...
}

这种方式的优势：

• 现有模块完全无需修改，避免模块内部count带来的状态重构
• 所有环境的部署逻辑集中在Terragrunt配置中，清晰易维护
• 不会出现模块内部资源的条件创建，状态结构保持稳定

2. 拆分Terraform配置文件+Terragrunt分层加载 #

如果不想在单个terragrunt.hcl中写太多条件判断，可以将不同环境的模块调用拆分成独立配置文件：

• main.tf：包含所有环境共享的模块调用
• dr-only.tf：仅包含DR环境专属的模块
• non-dr-only.tf：仅包含非DR环境的模块

然后在terragrunt.hcl中根据环境决定加载哪些配置文件：

locals {
  is_dr = get_env("TF_ENV") == "dr"
}

terraform {
  source = "."
  
  # 动态指定要执行的配置文件
  extra_arguments "select_config" {
    commands = ["plan", "apply", "destroy"]
    
    arguments = concat(
      ["-var-file=${get_env("TF_ENV")}.tfvars"],
      ["-f=main.tf"],
      local.is_dr ? ["-f=dr-only.tf"] : ["-f=non-dr-only.tf"]
    )
  }
}

这种方式让Terraform只加载指定的配置文件，自然不会处理其他文件中的模块调用。

3. 关于标签过滤的补充说明 #

你之前尝试的标签过滤方式无法生效，原因是模块创建的子资源地址为module.<模块名>.<资源类型>.<资源名>，标签是资源属性而非地址的一部分，通过jq过滤计划JSON很难准确匹配所有需要排除的子资源——尤其是模块有嵌套调用时，子资源地址会更复杂，维护成本极高，不推荐使用。

总结 #

优先选择Terragrunt条件模块调用的方案，它最贴合你的需求：无需修改现有模块、避免状态变更、逻辑清晰易维护。

内容的提问来源于stack exchange，提问作者iliefa