Terraform 是否能检测到 AWS IAM 策略的手动更改

43次阅读

问题描述

在使用 Terraform 进行基础设施编排时，用户有一个疑问，即 Terraform 是否能够检测到对 AWS IAM 策略的手动更改。用户已经了解到 Terraform 在计划阶段会检测某些更改，但对于一些更改，如 Lambda 函数中的变量更改和秘密管理器中的新秘密，Terraform 是否也能检测到变化？

解决方案

方案1 – Terraform 检测 IAM 策略漂移

Terraform 确实能够检测到 IAM 策略的漂移。当手动更改了 IAM 策略，Terraform 在执行计划阶段时会发现这些更改，因此可以及时发现并处理漂移。

以下是一个示例，展示如何使用 Terraform 来管理 IAM 策略以及如何检测策略漂移的步骤：

首先，创建一个包含权限定义的 IAM 策略文件，可以使用 Terraform 的 HCL 或 JSON 配置语法。
使用 Terraform 创建 IAM 策略，并将其与其他资源（例如角色、用户等）进行关联。
当手动更改了 IAM 策略，可以运行以下命令来查看 Terraform 是否能检测到漂移：

terraform plan

Terraform 会生成一个执行计划，其中会指示哪些资源会发生更改、添加或删除。如果手动更改了 IAM 策略，Terraform 会在执行计划中显示出相应的策略漂移。

下面是一个示例执行计划，展示了 Terraform 检测到的策略漂移：

# aws_iam_policy.task_role 将进行就地更新
~ 资源 "aws_iam_policy" "task_role" {
    arn     = "arn:aws:iam::111111111111:policy/my-task-policy"
    id      = "arn:aws:iam::111111111111:policy/my-task-policy"
    name    = "my-task-policy"
    path    = "/"
  ~ policy  = jsonencode(
      ~ {
          ~ Statement = [
              ... REDACTED...
              - {
                  - Action   = "ec2:DescribeInstances"
                  - Effect   = "Allow"
                  - Resource = "*"
                  - Sid      = "VisualEditor0"
                },
            ]
          ~ Version   = "2012-10-17"
        }
    )
}

方案2 – 手动控制容器启动顺序

如果您希望手动控制容器的启动顺序，可以编写脚本或使用工具来管理容器的运行顺序。以下是一个简单的 bash 脚本示例，展示如何在容器 A 启动后启动容器 B：

#!/bin/bash
# 启动容器A
docker run -d --name container_a your_image_a
# 等待容器A完全启动
while ! docker exec container_a echo "Container A is ready"; do
  sleep 1
done
# 启动容器B
docker run -d --name container_b your_image_b

在这个示例中，我们首先使用 docker run 命令启动容器 A，并将其命名为 container_a。然后，使用一个循环来等待容器 A 完全启动（通过在容器内运行 echo 命令来测试）。一旦容器 A 就绪，我们再使用 docker run 命令启动容器 B，并将其命名为 container_b。

请注意，这种方法需要您手动编写和管理脚本，可能会增加复杂性，并且需要确保容器 A 和容器 B 之间的依赖关系正确设置。