一次面試反饋?zhàn)屛抑匦滤伎技夹g(shù)學(xué)習(xí)的方式。"你用過這些工具，但技術(shù)深度不夠。"這句話點(diǎn)醒了我——光看文檔不夠，必須動(dòng)手搭建真實(shí)的多環(huán)境基礎(chǔ)設(shè)施。我用Terraform、Terragrunt和Ansible從零搭建了開發(fā)、預(yù)發(fā)布、生產(chǎn)三個(gè)環(huán)境，這篇文章記錄完整的搭建過程和踩坑經(jīng)驗(yàn)。

很多開發(fā)者的Terraform工作流是這樣的：寫main.tf，執(zhí)行terraform apply，完事。單環(huán)境確實(shí)夠用，但真實(shí)公司的代碼不會(huì)直接上生產(chǎn)。標(biāo)準(zhǔn)流程是三層：開發(fā)環(huán)境供程序員實(shí)驗(yàn)，東西壞了沒關(guān)系；預(yù)發(fā)布環(huán)境是生產(chǎn)的鏡像，QA在這里做發(fā)布前測(cè)試；生產(chǎn)環(huán)境跑真實(shí)流量，每次失誤都有代價(jià)。

當(dāng)你試圖把單份的main.tf擴(kuò)展到三個(gè)環(huán)境，三個(gè)問題立刻暴露。第一是代碼重復(fù)。你把main.tf復(fù)制到environments/dev、environments/staging、environments/prod三個(gè)目錄，現(xiàn)在你有三份完全相同的文件。開發(fā)環(huán)境加了新資源，你得手動(dòng)同步到另外兩個(gè)環(huán)境。漏掉一次，三個(gè)環(huán)境就悄悄分道揚(yáng)鑣。

第二是狀態(tài)文件沖突。Terraform把基礎(chǔ)設(shè)施的當(dāng)前狀態(tài)保存在terraform.tfstate文件里。如果三個(gè)環(huán)境往同一個(gè)S3路徑寫狀態(tài)，開發(fā)環(huán)境的一次apply可能直接覆蓋生產(chǎn)環(huán)境的狀態(tài)記錄?；A(chǔ)設(shè)施狀態(tài)丟失，恢復(fù)起來極其麻煩。

第三是沒有訪問控制。不做IAM隔離的話，任何拿到AWS憑證的工程師都可能手滑在錯(cuò)誤的環(huán)境執(zhí)行terragrunt apply。這次實(shí)戰(zhàn)就是為解決這三個(gè)問題而設(shè)計(jì)的。

整個(gè)項(xiàng)目的目錄結(jié)構(gòu)分為三層。_base目錄存放統(tǒng)一的Terraform入口文件main.tf，以及EC2、安全組、VPC三個(gè)模塊。ansible目錄包含配置文件、按環(huán)境分組的環(huán)境變量、基于AWS標(biāo)簽的動(dòng)態(tài)主機(jī)清單，以及具體的playbook和角色定義。live目錄是Terragrunt的工作區(qū)，根配置文件定義S3后端和狀態(tài)鎖定，dev、staging、prod三個(gè)子目錄各自存放環(huán)境專屬的配置值。

執(zhí)行流程是這樣的：在live/dev目錄運(yùn)行terragrunt apply，工具先讀取根目錄的terragrunt.hcl自動(dòng)生成backend.tf，再讀取dev目錄的配置獲取環(huán)境專屬參數(shù)，然后調(diào)用_base/main.tf創(chuàng)建VPC、安全組和EC2實(shí)例，最后觸發(fā)null_resource執(zhí)行Ansible完成服務(wù)器配置。

這套架構(gòu)的核心價(jià)值在于"一份代碼，多處部署"?；A(chǔ)模塊只定義一次，環(huán)境差異通過Terragrunt的變量注入解決，狀態(tài)文件按環(huán)境隔離存儲(chǔ)，配合IAM策略就能實(shí)現(xiàn)權(quán)限管控。從面試被拒到完整跑通三環(huán)境自動(dòng)化，最大的收獲是理解了Infrastructure as Code在真實(shí)業(yè)務(wù)場(chǎng)景下的復(fù)雜度——不是工具會(huì)用就行，而是得想清楚代碼復(fù)用、狀態(tài)隔離、權(quán)限邊界這些工程問題怎么解。