AWS EC2实例Terraform部署报错修复与IaC优化咨询

问题1：配置错误原因与修复方案 #

错误根因 #

你当前module "ec2"的source配置为../../，指向本地上级目录，该目录下的Terraform代码未定义name、ami等你传入的输入参数，因此触发不支持参数的报错。

其他配置错误点 #

• 系统盘配置错误：你额外定义的aws_ebs_volume是附加数据盘，未满足20GB系统盘的需求，也未配置实例终止时自动删除的属性
• 子网配置错误：你将实例部署到VPC的私有子网，同时开启公网IP关联，私有子网实例默认无法关联公网IP，也无法公网访问
• 缺少SSH密钥配置：未传入已有SSH密钥对的名称，实例创建后无法登录
• 标签配置缺失：未按要求配置Name=lfs258_class标签
• 语法小问题：variables.tf中init变量的对象定义里ami=string后缺少逗号，会触发语法报错

修复步骤 #

推荐使用更轻量化的原生aws_instance资源，不需要依赖第三方模块，替换ec2.tf中原来的module "ec2"、aws_ebs_volume、aws_volume_attachment三块代码为以下内容：

resource "aws_instance" "lfs258" {
  count                       = lookup(element(var.instances, 0), "count")
  ami                         = lookup(var.init, "ami")
  instance_type               = lookup(element(var.instances, 0), "instance_type")
  subnet_id                   = element(module.vpc.public_subnets, count.index)
  vpc_security_group_ids      = [module.security_group.security_group_id]
  associate_public_ip_address = true
  key_name                    = "替换为你本地SSH密钥对在AWS上的名称"

  root_block_device {
    volume_size = 20
    volume_type = "gp3"
    delete_on_termination = true
  }

  tags = merge(local.tags, {
    Name = "lfs258_class"
  })
}

同步修改outputs.tf里的所有引用，从module.ec2.xxx改成aws_instance.lfs258[*].xxx，同时给variables.tf里init定义的ami=string后面补上逗号即可。

问题2：规范Terraform IaC部署体系搭建方法 #

1. 目录结构规范 #

• 按环境拆分目录：dev、staging、prod三个环境单独分目录，环境之间完全隔离，配置用各自的terraform.tfvars文件维护
• 公共模块抽离：通用的VPC、EC2、数据库等模块单独放到modules目录统一管理，所有环境复用同一份模块代码，避免重复开发
• 配置文件职责清晰：provider.tf、versions.tf、variables.tf、outputs.tf、main.tf各自按职责拆分，不要把所有配置都写到一个文件里

2. 状态管理规范 #

• 必须使用远程后端存储tfstate文件，推荐用AWS S3存储+DynamoDB做状态锁，禁止把tfstate提交到Git仓库，避免状态冲突、数据丢失和敏感信息泄露
• 每个环境对应独立的tfstate文件，不要多个环境共用同一个状态文件

3. 代码规范 #

• 所有可配置参数都要定义到variables.tf，明确类型约束、默认值和描述，敏感参数要标记sensitive = true，禁止硬编码密钥、AKSK等敏感信息
• 输出变量也要加明确的描述，敏感输出同样标记sensitive属性
• 所有资源强制配置标签，至少包含环境、业务线、负责人、成本中心四个维度的标签，方便运维和成本核算
• 代码提交前必须执行terraform fmt格式化、terraform validate语法校验，保证代码风格统一、语法正确

4. 流程规范 #

• 接入CI/CD流水线，每次代码提交自动执行fmt校验、validate校验、plan预览、合规扫描（用tflint、checkov等工具扫描配置风险），审核通过后才能手动执行apply操作
• 生产环境的apply操作必须要有审核流程，禁止直接在本地操作生产环境

5. 权限规范 #

• Terraform部署使用的IAM身份遵循最小权限原则，只给必要的资源操作权限，禁止使用管理员权限
• 云厂商的AKSK不要写到配置文件里，优先用环境变量、共享凭据文件或者云厂商的RAM角色关联获取权限

内容的提问来源于stack exchange，提问作者MasterOfTheHouse