如何在两条不同流水线之间共享同一个tfstate文件完成部署

可以通过以下配置实现两条流水线共用同一个tfstate文件的需求，核心要保证Terraform配置一致性、并发操作安全：

1. 统一后端配置与并发管控 #

• 两条流水线必须使用完全一致的远程后端配置（比如S3+DynamoDB、自托管Terraform后端等），state文件的存储路径、名称、权限配置必须100%相同
• 必须开启state自动锁机制，避免两条流水线同时执行terraform apply操作导致state文件内容冲突损坏
• 两条流水线使用的Terraform CLI大版本必须保持一致，避免state文件格式版本不兼容导致读写失败

2. 对齐Terraform资源声明 #

两份分别用于基础设施、应用部署的Terraform代码，必须包含所有已写入该tfstate的资源的完整声明：

• 方案一：将基础设施和应用的Terraform代码统一维护在同一个代码库，两条流水线分别通过-target参数指定执行范围：
  • 基础设施部署流水线执行命令：terraform apply -target=module.infrastructure.*
  • 应用部署流水线执行命令：terraform apply -target=module.application.*

  注意：使用-target参数前必须仔细核对terraform plan的输出结果，确认变更范围仅包含当前流水线要操作的资源，不会触发其他资源的删除/变更操作

• 方案二：如果基础设施和应用代码分库维护，两个库都需要引入对方的资源声明，可通过Terraform模块导入的方式实现，保证执行terraform plan时不会检测到不存在的资源变更

3. 流水线权限与校验配置 #

• 两条流水线的执行身份必须同时拥有tfstate后端存储的读写权限、state锁的创建/释放权限
• 建议在流水线的apply步骤前增加校验环节，匹配plan输出的变更范围是否符合当前流水线的预期，避免误操作

生产级可选优化 #

如果后续遇到两份代码对齐维护成本高的问题，也可以改为拆分两个独立tfstate，在应用部署的Terraform代码中通过data "terraform_remote_state"数据源读取基础设施state的输出值，既实现资源参数共享，又避免单state的并发冲突风险。

内容的提问来源于stack exchange，提问作者Syed