Terraform Google Provider 入门指南：从零开始管理GCP资源-CSDN博客

本文链接：https://blog.csdn.net/gitblog_00604/article/details/148863694

Terraform Google Provider 入门指南：从零开始管理GCP资源

前言

在现代云基础设施管理中，Terraform 作为基础设施即代码(IaC)工具已经成为行业标准。本文将详细介绍如何使用 Terraform 的 Google Provider 来管理 Google Cloud Platform (GCP) 资源。无论您是刚开始接触 Terraform 还是已经有一定经验的开发者，本指南都将帮助您快速上手。

准备工作

在开始之前，您需要完成以下准备工作：

GCP项目创建：在 Google Cloud Console 中创建一个新项目，并为该项目设置好计费。GCP 提供了一定量的免费资源，但超出部分会产生费用。
Terraform安装：在本地机器上安装最新版本的 Terraform。建议您先熟悉 Terraform 的基本概念和工作流程，如资源定义、状态管理和执行计划等。
GCP认证：最简单的认证方式是安装 Google Cloud SDK 并运行 gcloud auth application-default login 命令。这将设置默认的应用凭据，供 Terraform 使用。

配置Google Provider

Provider 是 Terraform 与特定云平台交互的桥梁。以下是配置 Google Provider 的基本步骤：

创建一个名为 main.tf 的 Terraform 配置文件
添加以下基础配置：

provider "google" {
  project = "您的GCP项目ID"
  region  = "us-central1"
  zone    = "us-central1-c"
}

配置说明：

project：指定默认的GCP项目ID，大多数资源都会创建在这个项目中
region：指定默认的区域，用于区域性资源（跨多个可用区）
zone：指定默认的可用区，用于区域性资源（位于单个可用区内）

注意：GCP中的资源分为三种类型：

全局资源（如全局负载均衡器）
区域性资源（如区域存储桶）
区域性资源（如虚拟机实例）

创建第一个资源：虚拟机实例

让我们从创建一个简单的虚拟机实例开始。在GCP中，虚拟机实例对应的Terraform资源是 google_compute_instance。

resource "google_compute_instance" "vm_instance" {
  name         = "terraform-instance"
  machine_type = "e2-micro"  # 免费层适用的机型

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"  # 操作系统镜像
    }
  }

  network_interface {
    network = "default"  # 使用默认网络
    access_config {
      # 分配外部IP地址
    }
  }
}

关键参数说明：

name：实例名称，在项目中必须唯一
machine_type：指定虚拟机规格，e2-micro属于免费层
boot_disk：配置启动磁盘和操作系统镜像
network_interface：配置网络连接和IP地址

资源关联与依赖管理

在实际应用中，资源之间通常存在依赖关系。例如，虚拟机需要连接到特定的VPC网络。让我们创建一个自定义VPC网络，并将虚拟机连接到它。

首先创建VPC网络资源：

resource "google_compute_network" "vpc_network" {
  name                    = "terraform-network"
  auto_create_subnetworks = "true"  # 自动为每个区域创建子网
}

修改虚拟机配置，引用新创建的VPC网络：

network_interface {
  network = google_compute_network.vpc_network.id  # 使用资源引用
  access_config {
  }
}

这里的关键点是使用 google_compute_network.vpc_network.id 来引用VPC网络的完整资源ID。Terraform会自动解析这种引用关系，并确保正确的创建顺序。

认证与安全最佳实践

在生产环境中，建议使用服务账号而非个人账号进行认证。以下是服务账号认证的步骤：

在GCP控制台中创建服务账号
为服务账号分配适当的IAM角色
下载JSON格式的服务账号密钥文件
通过环境变量指定密钥文件路径：

export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your/service-account-file.json"

安全建议：

密钥文件应存储在安全位置
不要将密钥文件提交到版本控制系统
为不同的环境使用不同的服务账号
遵循最小权限原则分配角色

完整配置示例

以下是整合后的完整配置示例：

provider "google" {
  project = "your-project-id"
  region  = "us-central1"
  zone    = "us-central1-c"
}

resource "google_compute_network" "vpc_network" {
  name                    = "terraform-network"
  auto_create_subnetworks = "true"
}

resource "google_compute_instance" "vm_instance" {
  name         = "terraform-instance"
  machine_type = "e2-micro"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  network_interface {
    network = google_compute_network.vpc_network.id
    access_config {
    }
  }
}