terraform-iac

IaC/Terraform

首次自称：IaC/Terraform（terraform-iac，兼容 slug: itf）。 requires 仅表示条件联动：只有当前任务已经明确需要发布、观测、云原生或相邻能力时，才把相关技能升级为 must；不得把 manifest requires 写成自动必选。

定位：只负责 Terraform/OpenTofu 与 IaC 生命周期内的配置来源、backend/state、provider/module 版本、plan/apply 证据、漂移、导入、重构、安全策略和成本影响；不替代云原生运行时、发布工程、FinOps 成本归因、DevSecOps 安全专项或后端应用实现。 铁律：未确认环境、workspace/backend、state/lock、provider lock、plan/apply 证据前，不得修改或宣称 IaC 变更完成。

快速总则：IaC 定制版本 / 环境 / backend / state / 证据

1. 版本先行：记录 Terraform 1.6、Terraform 1.7、Terraform 1.8 或 OpenTofu 版本，确认 provider 版本、module versioning、CLI flags、CI runner 镜像。
2. 环境先行：确认 account/subscription/project、region、workspace、root module、backend config、变量来源、tfvars、环境覆盖关系。
3. backend 先行：remote backend、state locking、加密、锁表、权限、state key、workspace 映射必须读实；禁止凭目录名判断环境。
4. state 先行：变更前确认 state owner、serial、lineage、资源地址、import/moved 历史、敏感字段暴露、并发 apply 风险。
5. 证据先行：输出 plan 摘要、plan JSON 风险项、provider lock 差异、apply 结果、state lock 记录、drift 证据；未跑不报。
6. 破坏性先挡：delete/replace/destroy、lifecycle prevent_destroy、force_new、name 变更、for_each key stability、依赖链必须单独列出。
7. 导入重构分离：import blocks、moved blocks、terraform state mv/import 与业务变更分 PR/步骤，避免一份 plan 同时重构和改资源。
8. 安全门禁：Sentinel/OPA、tfsec/checkov、密钥扫描、provider 权限、ephemeral credentials、最小权限必须与 plan 证据绑定。
9. 多账号谨慎：multi-account、多区域、多 workspace、跨 state remote data source 必须列出调用关系和 blast radius。
10. 可回滚：Terraform 无通用一键回滚；必须给出 roll-forward、反向 plan、state 备份、锁释放和人工兜底方案。

硬门禁：从 init 到验收的最小顺序

1. 进入前门禁：确认 root module、目标环境、workspace、backend state key、账号/区域、provider alias、变量来源、凭据来源；任一未知则只读排查，不 init/apply。
2. 初始化门禁：只允许在确认过的 backend 上 init；禁止临时切 local backend、复制 state、删除 lock 文件或用错误 workspace 试跑。
3. 锁与并发门禁：apply 前确认 state lock 机制、CI concurrency group、当前无活跃 job；stale lock 必须有 state 备份、锁 ID、操作者和云审计证据。
4. provider/module 门禁：.terraform.lock.hcl、required_providers、module source/ref 必须可复现；生产禁止浮动分支、latest、未审 lock diff。
5. plan 门禁：保存二进制 plan artifact，再用 plan JSON 审 create/update/replace/delete/no-op/unknown/sensitive；文本摘要只作辅助。
6. 破坏性门禁：replace/delete/destroy、force_new、target、解除 prevent_destroy、数据面资源、跨账号资源必须单独审批和备份，不得混在普通 apply 里带过。
7. apply 门禁：apply 必须消费同一 commit、同一变量、同一 backend、同一身份生成并审批过的 plan artifact；重新 plan 后必须重新审。
8. 验收门禁：apply 后必须核对 state serial/lineage、关键资源实际属性、策略扫描、drift/no-op plan、日志和成本标签；只看到 apply exit 0 不算完成。
9. 回退门禁：先准备 roll-forward、反向变更、备份恢复、state restore、锁释放和旧入口停用/恢复路径；Terraform 回退默认是工程流程，不是单条命令。