Terraform 多环境管理完全指南：4种策略实现开发/测试/生产隔离部署

当你的Terraform项目从"玩具"进化为"生产工具"时，第一个真正的工程挑战就是：如何管理开发、测试、生产三套环境？直接把dev.tf和prod.tf放在同一个目录？用分支区分环境？还是为每个环境建独立目录？

📈 多环境管理决策流程图

先通过一张图理解Terraform多环境管理的核心挑战和4种应对策略：

核心挑战：多环境管理的本质是在隔离性和复用性之间找到平衡——既要保证"改dev不影响prod"，又要避免"三套完全重复的配置"。

一、核心概念：多环境管理的三大核心目标

在深入策略之前，必须明确多环境管理要解决的核心问题：

反面教材：所有环境共用一个terraform.tfstate，某天在dev测试时误删了prod的数据库——这就是没有状态隔离的惨痛教训。

二、策略一：Terraform Workspace（内置轻量方案）

1. 原理

Terraform CLI 内置的workspace功能允许你在同一份配置代码下创建多个命名空间，每个workspace有独立的状态文件。

2. 操作步骤

创建和管理Workspace：

# 查看当前workspaceterraform workspace list# 输出：# * default# 创建新workspaceterraform workspace new dev terraform workspace new staging terraform workspace new prod# 切换workspaceterraform workspaceselectprod# 查看当前workspaceterraform workspace show# 输出：prod

3. 配置示例

main.tf（所有环境共享的配置）：

# 使用 terraform.workspace 变量动态适配环境 locals { environment = terraform.workspace instance_type = { dev = "t3.micro" staging = "t3.small" prod = "t3.large" } instance_count = { dev = 1 staging = 2 prod = 3 } } resource "aws_instance" "web" { ami = "ami-0c55b159cbfafe1f0" instance_type = local.instance_type[local.environment] count = local.instance_count[local.environment] tags = { Name = "web-${local.environment}-${count.index + 1}" Environment = local.environment ManagedBy = "Terraform" } }

backend.tf（远程Backend配置）：

terraform { backend "s3" { bucket = "my-company-terraform-state" key = "web-app/terraform.tfstate" # workspace会自动添加前缀 region = "us-east-1" encrypt = true dynamodb_table = "terraform-state-lock" } }

多环境部署流程：

# 部署开发环境terraform workspaceselectdev terraform plan-out=dev.tfplan terraform apply dev.tfplan# 部署生产环境terraform workspaceselectprod terraform plan-out=prod.tfplan terraform apply prod.tfplan

4. 优缺点

适用场景：小型项目、个人项目、环境差异不大的场景。

三、策略二：目录结构隔离（最广泛使用）

1. 原理

为每个环境创建完全独立的目录，每个目录有自己的.tf配置和独立的状态文件。

2. 推荐目录结构

terraform-project/ ├── environments/ │ ├── dev/ │ │ ├── main.tf # dev环境的主配置 │ │ ├── variables.tf # 变量定义 │ │ ├── terraform.tfvars # dev特定变量值 │ │ └── backend.tf # dev后端配置 │ ├── staging/ │ │ ├── main.tf │ │ ├── variables.tf │ │ ├── terraform.tfvars │ │ └── backend.tf │ └── prod/ │ ├── main.tf │ ├── variables.tf │ ├── terraform.tfvars │ └── backend.tf ├── modules/ # 可复用的模块 │ ├── networking/ │ │ ├── main.tf │ │ ├── variables.tf │ │ └── outputs.tf │ └── compute/ │ ├── main.tf │ ├── variables.tf │ └── outputs.tf └── README.md

3. 配置示例

environments/prod/main.tf：

# 调用共享模块，传入生产环境参数 module "networking" { source = "../../modules/networking" environment = "prod" vpc_cidr = "10.0.0.0/16" subnet_cidrs = ["10.0.1.0/24", "10.0.2.0/24"] enable_nat_gateway = true } module "compute" { source = "../../modules/compute" environment = "prod" instance_type = "t3.large" min_size = 3 max_size = 10 desired_size = 3 vpc_id = module.networking.vpc_id subnet_ids = module.networking.private_subnet_ids }

environments/dev/main.tf：

module "networking" { source = "../../modules/networking" environment = "dev" vpc_cidr = "10.1.0.0/16" subnet_cidrs = ["10.1.1.0/24", "10.1.2.0/24"] enable_nat_gateway = false # dev环境省钱 } module "compute" { source = "../../modules/compute" environment = "dev" instance_type = "t3.micro" min_size = 1 max_size = 2 desired_size = 1 vpc_id = module.networking.vpc_id subnet_ids = module.networking.private_subnet_ids }

environments/prod/backend.tf：

terraform { backend "s3" { bucket = "my-company-terraform-state" key = "prod/web-app/terraform.tfstate" # 独立路径 region = "us-east-1" encrypt = true dynamodb_table = "terraform-state-lock" } }

部署命令：

# 操作生产环境cdenvironments/prod terraform init terraform plan terraform apply# 操作开发环境（完全独立）cdenvironments/dev terraform init terraform plan terraform apply

4. 优缺点

适用场景：中大型项目、团队协作、环境差异大的场景。这是最推荐的方案。

四、策略三：模块化 + 变量文件（DRY原则）

1. 原理

将策略二中的重复代码进一步抽象：所有环境调用同一个根模块，仅通过不同的.tfvars文件区分环境。

2. 目录结构

terraform-project/ ├── main.tf # 通用主配置（调用模块） ├── variables.tf # 变量定义 ├── outputs.tf # 输出定义 ├── backend.tf ├── envs/ │ ├── dev.tfvars # 开发环境变量 │ ├── staging.tfvars # 预发环境变量 │ └── prod.tfvars # 生产环境变量 └── modules/ ├── networking/ └── compute/

3. 配置示例

variables.tf（变量声明）：

variable "environment" { description = "环境名称" type = string } variable "instance_type" { description = "EC2实例类型" type = string } variable "instance_count" { description = "实例数量" type = number } variable "enable_nat_gateway" { description = "是否启用NAT网关" type = bool default = false }

main.tf（所有环境共用）：

module "networking" { source = "./modules/networking" environment = var.environment enable_nat_gateway = var.enable_nat_gateway } module "compute" { source = "./modules/compute" environment = var.environment instance_type = var.instance_type instance_count = var.instance_count vpc_id = module.networking.vpc_id subnet_ids = module.networking.private_subnet_ids }

envs/prod.tfvars：

environment = "prod" instance_type = "t3.large" instance_count = 3 enable_nat_gateway = true

envs/dev.tfvars：

environment = "dev" instance_type = "t3.micro" instance_count = 1 enable_nat_gateway = false

部署命令（使用不同变量文件）：

# 需要配合Workspace或Backend Partial Configuration# 方案A：使用-workspace区分状态terraform workspaceselectdev terraform plan -var-file="envs/dev.tfvars"terraform apply -var-file="envs/dev.tfvars"# 方案B：使用-backend-config动态指定状态路径terraform init -backend-config="key=dev/terraform.tfstate"terraform plan -var-file="envs/dev.tfvars"terraform apply -var-file="envs/dev.tfvars"

4. 优缺点

适用场景：环境间架构一致、仅配置参数不同（如规格、数量）的场景。

五、策略四：Terraform Cloud Workspace（企业级）

1. 原理

使用Terraform Cloud（或Terraform Enterprise）的托管Workspace功能，每个环境对应一个云端Workspace，自动管理状态、变量和权限。

2. 配置示例

main.tf（与Terraform Cloud集成）：

terraform { cloud { organization = "my-company" workspaces { # 使用Tags区分环境 tags = ["web-app", "production"] } } } # 使用Terraform Cloud的环境变量功能 variable "instance_type" { type = string } resource "aws_instance" "web" { ami = "ami-0c55b159cbfafe1f0" instance_type = var.instance_type }

在Terraform Cloud UI中配置：

1. 创建Workspace：

   • web-app-dev（Tags:web-app,development）
   • web-app-staging（Tags:web-app,staging）
   • web-app-prod（Tags:web-app,production）

2. 为每个Workspace设置变量：

   • web-app-dev：instance_type = t3.micro
   • web-app-prod：instance_type = t3.large

3. 设置生产环境保护：

   • 对web-app-prodWorkspace启用“需要审批准许apply”。

GitLab CI 集成：

terraform-plan:stage:planscript:-cd terraform-terraform init-terraform planenvironment:name:$CI_ENVIRONMENT_NAMEterraform-apply-prod:stage:deployscript:-cd terraform-terraform apply-auto-approvewhen:manual# 生产部署需手动触发environment:name:productiononly:-main

3. 优缺点

适用场景：企业级团队、需要审批流、不想管理状态基础设施。

📊 四种策略对比总结

📚 常见问题排查

💎 总结

通过本文，你已掌握Terraform多环境管理的核心方法：

1. Workspace：快速上手，适合小项目。
2. 目录结构分离：最推荐，环境完全隔离，目录清晰。
3. 模块化+变量文件：极致代码复用，适合架构统一场景。
4. Terraform Cloud：企业级方案，内置审批和权限。

选型建议：

• 个人项目 → Workspace
• 团队项目 → 目录分离 + 共享模块
• 企业项目 → 目录分离 + Terraform Cloud

黄金原则：无论选择哪种策略，生产环境的状态文件和配置文件必须与其他环境物理隔离，且对生产环境的变更操作应有额外审批或手动触发机制。记住：在dev误删10台服务器是事故，在prod误删1台就是灾难。