2025年06月19日玄貓（BlackCat）

Terraform 與 SaltStack 整合實作虛擬機器自動化組態管理

本文闡述如何整合 Terraform 和 SaltStack，實作虛擬機器佈署後的自動化組態管理。首先，使用 Terraform 在 vSphere 上佈署虛擬機器，然後利用 PowerShell 指令碼在虛擬機器上安裝 SaltStack minion，最後在 SaltStack master 上接受 minion

DevOps 虛擬化

Terraform SaltStack 虛擬機器自動化組態管理 IaC

在現今的 IT 環境中，自動化佈署和組態虛擬機器已成為提升效率的關鍵。本文將探討如何結合 Terraform 和 SaltStack 兩大工具，實作虛擬機器的自動化組態管理。首先，我們會使用 Terraform 在 vSphere 環境下佈署虛擬機器，接著利用內嵌的 PowerShell 指令碼自動安裝 SaltStack minion。此指令碼會從官方網站下載 minion 安裝檔，並設定其連線到指定的 SaltStack master。完成 minion 安裝後，我們會在 master 上接受 minion 的金鑰，正式將其納入管理。這個流程確保了虛擬機器佈署後能立即自動完成必要的軟體安裝和組態。除了 vSphere，本文也涵蓋了 Terraform 在 Google Cloud、Azure 和 AWS 等主流雲平台的匯入支援，並討論瞭如何利用逆向工程的技巧，將現有資源快速轉換為 Terraform 組態檔，簡化既有環境的自動化管理流程。同時，我們也將探討一些常見的挑戰，例如安全性、錯誤處理和可維護性，並提供一些實務上的建議。最後，我們將展望未來趨勢，例如多雲支援、CI/CD 整合以及監控與報告，以期提供更全面的自動化解決方案。

虛擬機器佈署後的組態管理：Terraform 與 SaltStack 整合

在現代 IT 環境中，虛擬機器（VM）的佈署與組態管理是不可或缺的任務。Terraform 與 SaltStack 這兩個工具的整合，能夠大幅提升這些任務的效率。以下玄貓將詳細說明如何使用 Terraform 佈署 VM，並利用 SaltStack 進行組態管理。

Terraform 與 SaltStack 的整合流程

首先，我們需要了解整個流程的基本步驟。這些步驟包括使用 Terraform 佈署 VM、在 VM 上執行安裝 SaltStack minion 的指令碼，以及在 SaltStack master 上接受並註冊 minion。

1. Terraform 佈署 VM

在這個階段，我們使用 Terraform 的 vsphere_virtual_machine 資源來佈署 VM。以下是相關的 Terraform 組態範例：

resource "vsphere_virtual_machine" "vm" {
  name             = "terraform-test"
  resource_pool_id = data.vsphere_resource_pool.pool.id
  datastore_id     = data.vsphere_datastore.datastore.id
  num_cpus         = 2
  memory           = 2048
  guest_id         = "windows9Server64Guest"

  network_interface {
    network_id   = data.vsphere_network.network.id
    adapter_type = "vmxnet3"
  }

  disk {
    label            = "disk0"
    size             = 20
    eagerly_scrub    = false
    thin_provisioned = true
  }

  clone {
    template_uuid = data.vsphere_virtual_machine.template.id

    customize {
      windows_options {
        computer_name  = "terraform-test"
        admin_password = "Password123!"
      }

      network_interface {
        ipv4_address = "192.168.1.100"
        ipv4_netmask = 24
      }

      ipv4_gateway = "192.168.1.1"
    }
  }

  provisioner "local-exec" {
    command = "powershell -Command \"Copy-Item -Path C:\\terraform\\Test\\Install_Minion.ps1 -Destination C:\\ -ToSession (New-PSSession -ComputerName ${self.default_ip_address} -Credential (New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList 'local\\Administrator', (ConvertTo-SecureString -AsPlainText -Force -String 'Password123!')))\""
  }

  provisioner "local-exec" {
    command = "powershell -Command \"Invoke-Command -ComputerName ${self.default_ip_address} -Credential (New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList 'local\\Administrator', (ConvertTo-SecureString -AsPlainText -Force -String 'Password123!')) -ScriptBlock { & 'C:\\Install_Minion.ps1' }\""
  }
}

內容解密：

Terraform 組態說明：這段程式碼展示瞭如何使用 Terraform 在 vSphere 中佈署一個 Windows VM。首先，我們定義了 VM 的基本組態，包括 CPU、記憶體和磁碟大小。接著，我們設定了網路介面和克隆範本。
Provisioner 說明： local-exec provisioner 用於在 VM 建立完成後執行 PowerShell 指令。這裡我們將 Install_Minion.ps1 指令碼複製到 VM 上，並執行該指令碼來安裝 SaltStack minion。

安裝與註冊 SaltStack Minion

接下來，我們需要在 VM 上執行 Install_Minion.ps1 指令碼來安裝 SaltStack minion。這個指令碼會從 SaltStack 網站下載 minion 執行檔，並組態其指向目標 master。

# Install_Minion.ps1
Write-Host "Salt is not installed, Starting Salt Deployment script"
Invoke-WebRequest -Uri "https://repo.saltstack.com/windows/Salt-Minion-latest-amd64-en_US.msi" -OutFile "$env:TEMP\salt.minion.msi"
Start-Process msiexec.exe -ArgumentList "/i", "$env:TEMP\salt.minion.msi", "/quiet", "/norestart" -Wait
Set-Content -Path "C:\ProgramData\Salt Project\Salt\conf\minion" -Value @"
master: salt-master.example.com
id: $(hostname)
"@
Start-Service -Name salt-minion

內容解密：

PowerShell 指令碼說明：這段 PowerShell 指令碼用於自動化安裝 SaltStack minion 的過程。它首先下載 SaltStack minion 的 MSI 安裝檔，然後使用 msiexec 安裝該檔案。接著，它組態 minion 的設定檔，指定 master 的位址和 minion 的 ID。最後，它啟動 SaltStack minion 機服務。
技術選型考量：選擇 PowerShell 作為指令碼語言是因為它在 Windows 平台上具有強大的自動化能力。

在 SaltStack Master 上接受與註冊 Minion

當 minion 安裝完成後，我們需要在 SaltStack master 上接受並註冊該 minion。這可以透過以下命令完成：

salt-key -a terraform-test

內容解密：

命令說明： salt-key 命令用於管理SaltStack的金鑰對。-a引數指定接受特定minion的金鑰。這裡我們接受名為 terraform-test 的minion。

流程圖示

此圖示展示了整個流程的邏輯關係：

內容解密：

圖示說明：此圖示清晰地展示了從佈署 VM、執行安裝指令碼、下載與安裝 Salt Minion、組態與啟動服務到最終在 Master 上接受 Minion 的整個流程。

技術深度分析

整合 Terraform 與 SaltStack 不僅提升了 VM 組態管理的效率，還減少了手動操作帶來的錯誤風險。然而，這種整合也需要謹慎處理一些潛在問題：

安全性：確保所有傳輸過程使用安全通道（如 HTTPS 和 WINRM over SSL），避免敏感資訊洩露。
錯誤處理：在指令碼中加入錯誤處理機制，確保當某一步驟失敗時能夠及時停止並通知管理員。
可維護性：保持指令碼和組態檔的簡潔和模組化設計，方便未來的維護和擴充套件。

未來趨勢與建議

隨著「ZeroOps」概念的普及，自動化工具如 Terraform 和 SaltStack 的需求將會持續增加。玄貓建議未來可以進一步探索以下幾個方向：

多雲支援：擴充套件 Terraform 和 SaltStack 的整合範圍，支援更多雲平台（如 AWS、Azure、GCP）。
CI/CD 整合：將這些工具納入持續整合/持續佈署（CI/CD）管道中，實作更高效的應用發布流程。
監控與報告：加強對自動化流程的監控和報告功能，確保系統執行狀態視覺化且可追溯。

總結來說，Terraform 與 SaltStack 的整合為虛擬機器佈署後的組態管理提供了一個高效且靈活的解決方案。透過這種整合，IT 隊伍可以更專注於業務創新而非重複性工作。

Terraform 與其他平台之匯入支援

Terraform 作為一個強大的基礎設施即程式碼（Infrastructure as Code, IaC）工具，能夠跨多個平台進行自動化管理。本章將探討 Terraform 在 Google Cloud、Microsoft Azure 及 Amazon AWS 等不同平台上的匯入支援，並介紹一些正在開發中的工具，幫助您利用 Terraform 的能力來自動化基礎設施管理。

公有雲面臨的挑戰

在探討各大公有雲平台上的 Terraform 匯入支援之前，我們先來看看公有雲面臨的一些挑戰：

學習曲線

即使您對 Terraform 和公有雲平台都已經非常熟悉，手動編寫能夠精確反映您所需基礎設施的 Terraform 組態檔案仍然是一項挑戰。這個過程需要多次反覆調整，最終生成的組態檔案往往會消耗大量時間。理想情況下，應該允許我們直接在平台上建立資源，然後再將這些資源匯入 Terraform 中，這樣可以節省不少時間和精力。

已經組態的資源

當資源是在 Terraform 外部組態時，管理員可能會面臨無法記錄精確設定的問題。當組織開始採用 IaC 工具時，他們希望能夠在整個基礎設施中實作自動化，即使是小的變更也需要完整的組態檔案。沒有清晰的組態檔案，變更基礎設施就會變得非常危險。

雲端預覽功能

雲端提供商不斷推出新功能來簡化管理員的工作。這些新功能通常會分階段發布，從私人預覽到公開預覽，最後才進入一般可用階段（GA）。Terraform 通常不會在功能達到 GA 階段之前提供支援。透過自動生成組態檔案，管理員可以在新功能達到 GA 階段時輕鬆地將其整合到他們的組態中。

逃脫洞口

雲端提供商提供了廣泛的服務和功能，並且這些服務和功能不斷擴充套件和變化。Terraform 支援大部分這些服務和功能。然而，當您需要管理一些還未被支援的功能或服務時，管理員可能會依賴於不完美的「逃脫洞口」，這些洞口無法充分利用 Terraform 的優勢。

消除逃脫洞口

逃脫洞口提供了臨時的解決方案。然而，當 Terraform 增加了正式支援時，管理員希望移除這些逃脫洞口。如果沒有一個可以自動生成組態檔案的機制，管理員可能需要摧毀基礎設施並重新佈署它。這種做法效率低下；自動化匯入工具可以幫助基礎設施管理員更高效地處理這些問題。

Google Cloud Platform (GCP) 的匯入支援

Google 提供了一個 beta 功能，允許我們將已經執行在 GCP 專案中的資源匯入到 Terraform 中。這項功能可以幫助我們快速將現有資源轉換為 Terraform 組態檔案，從而實作自動化管理。

使用 Google Cloud Provider 自動匯入

以下是一個簡單的範例，展示如何使用 Google Cloud Provider 自動匯入一個已存在的 Compute Engine 例項：

provider "google" {
  project = "your-project-id"
  region  = "us-central1"
}

resource "google_compute_instance" "example" {
  name         = "example-instance"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral IP
    }
  }
}

####內容解密：

此段程式碼定義了一個使用 Google Cloud Provider 的 Terraform 組態檔案。以下是詳細說明：

Provider 塊：定義了使用的 Google Cloud Provider，並指定了專案 ID 和區域。
Resource 塊：定義了一個 Google Compute Engine 的例項資源。
- name：例項的名稱。
- machine_type：例項的機器型別。
- zone：例項所在的區域。
- boot_disk：定義了啟動磁碟引數。
- network_interface：定義了網路介面引數。

Microsoft Azure 平台的匯入支援

Azure 提供了一些工具來幫助我們將現有資源匯入到 Terraform 中。例如，「aztfexport」工具可以生成現有 Azure 資源的 Terraform 組態檔案。

工具：aztfexport

aztfexport -g <resource-group-name> -n <resource-name> -t <resource-type>

####內容解密：此程式碼展示瞭如何使用 aztfexport 工具來匯出 Azure 資源到 Terraform 組態檔案：

aztfexport 命令：使用 aztfexport 工具來匯出資源。
- -g：指定資源組名稱。
- -n：指定資源名稱。
- -t：指定資源型別。

Amazon AWS 平台的匯入支援

Amazon AWS 提供了一些工具來幫助我們將現有資源匯入到 Terraform 中。例如，「terraform-aws-import」工具可以生成現有 AWS 資源的 Terraform 組態檔案。

工具：terraform-aws-import

terraform-aws-import <resource-type> <resource-name> <resource-id>

####內容解密：此程式碼展示瞭如何使用 terraform-aws-import 工具來匯出 AWS 資源到 Terraform 組態檔案：

terraform-aws-import 命令：使用 terraform-aws-import 工具來匯出資源。
- <resource-type>：指定資源型別。
- <resource-name>：指定資源名稱。
- <resource-id>：指定資源 ID。

認識如何逆向工程與Terraform進行整合

根據以上講解的Terraform與各大雲端平台整合方式與方法可以看到:

Google Cloud Platform (GCP):
- Google 提供 beta 功能來將已經執行在 GCP 專案中的資源匯入到 Terraform 中 ####此圖示展示瞭如何利用 Google Cloud 的 Beta 功能將已存在於 GCP 的資源進行逆向工程並整合至Terraform內。
Microsoft Azure:
- 「aztfexport」工具可以生成現有 Azure 資源的 Terraform 組態檔案 ####此圖示展示瞭如何利用 Microsoft Azure 的 aztfexport 工具將已存在於 Azure 的資源進行逆向工程並整合至Terrafrom內。
Amazon AWS:
- 「terraform-aws-import」工具可以生成現有 AWS 資源的 Terraform 組態檔案

@startuml skinparam backgroundColor #FEFEFE skinparam componentStyle rectangle

title Terraform 與 SaltStack 整合實作虛擬機器自動化組態管理

package “Terraform 工作流程” { actor “DevOps” as dev

package "本地開發" {
    component [.tf 設定檔] as tf
    component [terraform.tfvars] as vars
    component [.tfstate] as state
}

package "Terraform Core" {
    component [Init] as init
    component [Plan] as plan
    component [Apply] as apply
    component [Destroy] as destroy
}

package "Providers" {
    cloud "AWS" as aws
    cloud "GCP" as gcp
    cloud "Azure" as azure
}

database "Remote State" as remote

}

dev –> tf : 編寫配置 tf –> init : 初始化 init –> plan : 規劃變更 plan –> apply : 執行變更 apply –> aws : 建立資源 apply –> gcp : 建立資源 apply –> azure : 建立資源 apply –> state : 更新狀態 state –> remote : 同步狀態

@enduml

    ####此圖示展示瞭如何利用Amazon AWS 的 terrafrom-aws-import 工具將已存在於AWS 的資源進行逆向工程並整合至Terrafrom內。

總結來說，Terrafrom與各大雲端平台所進行的逆向工程與整合可說是目前主要對於習慣以手動方式建立及操作雲端主機之系統管理員最好也最快速又最簡單之方式。