Azure存储账户中Terraform状态文件的最优存储方式与位置咨询

最优存储方式 #

• 配置存储账户高冗余级别：核心业务优先选择读取访问异地冗余存储（RA-GRS），单区域内跨3个可用区存储3份副本的同时，会在配对的异地区域额外存储3份异步同步的副本，即使单区域整体故障也能读取异地副本恢复状态；非核心业务可以选择成本更低的区域冗余存储（ZRS），规避单数据中心故障风险。
• 启用多层数据保护机制：给Blob和存储容器分别设置至少7天的软删除周期，同时开启Blob版本控制功能，每一次terraform apply更新状态都会生成独立的历史版本，出现状态损坏、误删、配置冲突时可以快速回滚到可用版本，不需要额外恢复备份。
• 配置多副本独立备份：设置自动化工作流，每次状态更新后自动将状态文件同步到另一个独立订阅、独立资源组下的存储账户，两个存储账户不要使用相同的权限配置，避免单点权限故障导致所有状态副本都不可用。
• 开启全链路加密：存储层强制启用静态加密，敏感程度高的场景可以用客户自管密钥（CMK）加密，传输层强制要求HTTPS访问，避免状态文件中存储的密码、密钥等敏感信息泄露。

推荐存储位置 #

• 常规部署场景：优先选择和你要管理的Terraform资源同区域的Azure存储账户，低延迟的同时可以和资源使用同一套权限管控规则，配置更简单。
• 容灾部署场景：额外在和主区域配对的Azure异地区域部署备份存储账户，主区域发生服务故障时可以直接切换到异地备份的状态文件继续执行部署操作，不影响容灾切换流程。
• 合规审计场景：历史状态版本可以存入Azure Blob冷访问层，同时配置不可变存储策略，设置指定周期内的状态文件不可修改、不可删除，满足等保、行业合规的审计要求，同时长期存储的成本更低。

内容的提问来源于stack exchange，提问作者Zara