Terraform远程状态S3+DynamoDB锁实践

概述目标：将Terraform状态存储在S3，并通过DynamoDB加锁防止并发写入导致冲突，提升团队协作与可追溯。适用：多成员协作与CI环境部署的基础设施项目。核心与实战预置S3与DynamoDB（示例）：aws s3api create-bucket --bucket tf-state-bucket --region us-east-1 aws dynamodb create-table --table-name tf-locks --attribute-definitions AttributeName=LockID,AttributeType=S --key-schema AttributeName=LockID,KeyType=HASH --billing-mode PAY_PER_REQUEST Terraform后端配置：terraform { backend "s3" { bucket = "tf-state-bucket" key = "prod/terraform.tfstate" region = "us-east-1" dynamodb_table = "tf-locks" encrypt = true } } 示例初始化与计划：terraform init terraform plan -var-file=prod.tfvars 工作区与分环境：terraform workspace new prod || terraform workspace select prod terraform plan -var-file=prod.tfvars 验证与监控加锁验证：并发执行`apply`时DynamoDB表会生成锁项，后续执行将等待或失败；检查表项与日志。状态安全：S3启用版本与加密；限制访问策略只允许必要主体读写。审计：CloudTrail记录S3与DynamoDB操作；结合CI日志实现端到端可追溯。常见误区未配置`dynamodb_table`导致并发写入破坏状态；必须启用加锁。使用相同key覆盖不同环境状态；需按环境分隔key路径。S3未开启版本或加密导致安全与恢复风险；应开启与限制访问。结语通过S3后端与DynamoDB锁，Terraform状态管理在协作环境中更加安全与可靠，并具备审计与恢复能力。