如何用Terragrunt自动创建S3后端及带DynamoDB锁的远程状态

要实现Terragrunt一键搞定S3状态桶和DynamoDB锁表的创建，核心思路是先单独创建状态存储资源，再让其他模块依赖这个资源并自动配置后端。以下是具体步骤：

1. 单独创建状态存储模块 #

先建一个独立目录（比如infra/state-store），专门用来管理S3桶和DynamoDB锁表的Terraform代码：

infra/state-store/main.tf #

# 创建S3状态桶（桶名必须全局唯一，替换成你的专属名称）
resource "aws_s3_bucket" "terraform_state" {
  bucket = "your-unique-terraform-state-bucket-123"
  tags = {
    Name = "Terraform Remote State Bucket"
  }
}

# 开启版本控制，防止状态文件误删或覆盖
resource "aws_s3_bucket_versioning" "terraform_state" {
  bucket = aws_s3_bucket.terraform_state.id
  versioning_configuration {
    status = "Enabled"
  }
}

# 开启默认服务器端加密
resource "aws_s3_bucket_server_side_encryption_configuration" "terraform_state" {
  bucket = aws_s3_bucket.terraform_state.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

# 创建DynamoDB锁表（Terraform要求主键必须为LockID字符串类型）
resource "aws_dynamodb_table" "terraform_lock" {
  name           = "terraform-state-lock-table"
  billing_mode   = "PAY_PER_REQUEST"
  hash_key       = "LockID"
  attribute {
    name = "LockID"
    type = "S"
  }
  tags = {
    Name = "Terraform State Lock Table"
  }
}

infra/state-store/outputs.tf #

输出桶名和锁表名，供其他模块引用：

output "bucket_name" {
  value = aws_s3_bucket.terraform_state.bucket
}

output "lock_table_name" {
  value = aws_dynamodb_table.terraform_lock.name
}

infra/state-store/terragrunt.hcl #

这个模块首次创建用本地状态即可：

terraform {
  source = "."
}

2. 配置业务模块的Terragrunt依赖 #

在你的业务模块（比如infra/modules/app）的terragrunt.hcl中，添加依赖和自动生成后端配置的代码：

infra/modules/app/terragrunt.hcl #

# 依赖状态存储模块，确保S3桶和锁表先被创建
dependency "state_store" {
  config_path = "../../state-store" # 路径根据你的实际目录结构调整
}

# 自动生成backend.tf，引用状态存储模块的输出
generate "backend" {
  path      = "backend.tf"
  if_exists = "overwrite_terragrunt"
  contents = <<EOF
terraform {
  backend "s3" {
    bucket         = "${dependency.state_store.outputs.bucket_name}"
    key            = "${path_relative_to_include()}/terraform.tfstate"
    region         = "us-east-1" # 替换成你的AWS区域
    encrypt        = true
    dynamodb_table = "${dependency.state_store.outputs.lock_table_name}"
  }
}
EOF
}

# 业务模块的其他Terragrunt配置示例
terraform {
  source = "git::https://github.com/your-repo/your-app-module.git?ref=v1.0.0"
}

inputs = {
  # 你的业务模块输入参数
}

3. 一键执行流程 #

1. 先进入状态存储目录，创建基础资源：

cd infra/state-store
terragrunt apply

这一步会用本地状态创建S3桶和DynamoDB锁表。

2. 再进入业务模块目录，执行部署：

cd infra/modules/app
terragrunt apply

Terragrunt会自动生成backend.tf，初始化S3后端，然后执行业务模块的部署。

关键说明 #

• 之前的代码无效是因为：Terraform初始化后端时会检查S3桶和DynamoDB表是否存在，必须先创建这些资源才能配置后端。
• 桶名必须全局唯一，一定要替换成你自己的专属名称，否则创建会失败。
• 用Terragrunt的dependency功能可以自动保证执行顺序，也可以手动先创建状态存储模块，再处理其他模块。

内容的提问来源于stack exchange，提问作者kaimata9