Terraform：多用户共用Linux机器时的状态隔离方案

针对5名用户共用同一Linux机器、使用相同SSH账号登录但需要隔离各自Terraform配置的场景，以下是可落地的隔离方案：

1. 专属工作目录隔离基础配置 #

• 每个用户在机器上创建独立的专属工作目录，例如：

  mkdir -p ~/terraform/my-personal-project
  

  所有Terraform配置文件（.tf、.tfvars等）都放在自己的目录下，执行terraform plan/apply/destroy时必须在自身目录内操作，从物理层面隔离配置文件。

2. 独立管理Terraform状态文件 #

• 本地状态隔离：Terraform默认将terraform.tfstate存放在工作目录下，只要各自使用独立目录，状态文件不会互相覆盖，确保执行命令时只处理自身资源。
• 远程状态（推荐）：为了避免本地状态文件丢失或误操作，每个用户可配置自己的AWS S3桶作为远程状态存储，搭配DynamoDB实现状态锁。示例配置：

  terraform {
    backend "s3" {
      bucket         = "alice-tf-state-bucket" # 每个用户用自己的桶名
      key            = "web-app/terraform.tfstate"
      region         = "cn-north-1"
      dynamodb_table = "alice-tf-lock-table" # 每个用户用自己的锁表
    }
  }
  

  注意：S3桶名全局唯一，每个用户需创建专属桶和DynamoDB表，确保状态完全独立。

3. 隔离AWS访问凭证 #

• 绝对不要共用AWS IAM凭证，每个用户创建自己的IAM用户，生成独立的AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY。
• 在自己的工作目录下创建.env文件存储个人凭证，执行Terraform命令前加载：

  # .env 内容
  export AWS_ACCESS_KEY_ID="AKIAXXXXXXXXX"
  export AWS_SECRET_ACCESS_KEY="YYYYYYYYYYYY"
  

  每次操作前运行source .env加载凭证，避免凭证泄露或互相干扰。

4. 资源命名加个人标识 #

• 所有Terraform定义的资源，命名时加入个人专属标识（比如用户名缩写），例如：

  resource "aws_ec2_instance" "backend_server_bob" {
    # 资源配置
  }
  

  这样即使出现误操作场景，也能快速识别资源归属，避免删除他人资源。

5. 目录权限加固 #

• 给个人工作目录设置严格的权限，防止其他用户访问或修改：

  chmod 700 ~/terraform/my-personal-project
  

  确保只有自己能读写目录内的所有文件。

内容的提问来源于stack exchange，提问作者NAK