使用 Terraform 预配 Linux 虚拟机

  • 20 分钟

Terraform 可实现和控制目标基础结构，方法是通过使用描述其组件所需状态的配置文件。 文件的基本格式及其一般语法（以 HashiCorp Configuration Language (HCL) 表示）是相同的，无论选择哪种云。 但是，各个组件描述是依赖于云的，由相应的 Terraform 提供程序确定。

尽管有多个支持 Azure 基础结构管理的 Terraform 提供程序，但 AzureRM 具有特别的相关性。 AzureRM 提供程序有助于预配和配置常见的 Azure IaaS 资源，例如虚拟机、存储帐户和网络接口。 还有一些其他非特定于云的提供程序，你可能希望将它合并到部署中。 其中包括随机提供程序（通过生成伪随机字符串来帮助避免资源命名冲突），以及可简化非对称密钥管理以保护 Linux 身份验证的 tls 提供程序。

Terraform 以单个二进制文件的形式提供，可从 Hashicorp 网站下载。 此二进制文件实现 Terraform 命令行接口 (CLI)，你可以从 shell 会话调用该接口来初始化 Terraform 并处理配置文件。 可以从任何支持 Azure CLI 的 shell 中使用 Terraform CLI。

注意

使用 Azure Cloud Shell 时，请确保按照使用 Bash 在 Azure Cloud Shell 中配置 Terraform 中提供的说明运行当前版本的 Terraform。

使用 Terraform 部署 Linux VM

Terraform 提供定义、预览资源以及将资源部署到特定于提供程序的云基础结构的功能。 预配过程从创建使用 HCL 语法的配置文件开始，该语法使你能够指定目标云环境（例如 Azure）以及构成云基础结构的资源。 在所有相关配置文件都已就位（通常位于同一文件系统位置中）后，可以生成一个执行计划，使你能够在实际部署之前预览生成的基础结构更改。 这需要初始化 Terraform 以下载实现云资源所需的提供程序模块。 在验证更改后，请应用该执行计划以部署基础结构。

注意

生成执行计划是可选的，但我们建议这样做，因为它使你能够识别任何来自计划部署的影响，而不会影响目标环境。 当你以交互方式部署 Azure 资源时，Terraform 通过重用你的凭据访问目标 Azure 订阅，从而以透明方式支持 Azure CLI 身份验证。

使用 Terraform 预配运行 Linux 的 Azure VM 的过程通常涉及以下一系列主要步骤：

  • 确定合适的 VM 映像。
  • 确定合适的 VM 大小。
  • 创建配置文件，用于定义 Azure VM 资源及其依赖项。
  • 初始化 Terraform。
  • 生成 Terraform 执行计划。
  • 启动 Terraform 部署。

若要确定合适的 VM 映像和大小，请遵循本模块第 4 单元中所述的步骤。 本单元重点介绍特定于 Terraform 的任务。

创建配置文件

注意

为 Terraform 文件选择的文件名是任意的，不过最好选择反映文件内容或用途的名称。 应将“.tf”用于文件扩展名。

若要使用 Terraform 部署 Linux VM，请首先创建用于托管配置文件的目录。 接下来，创建一个名为 providers.tf 的文件，该文件强制实施 Terraform 版本，并指定在定义部署中包含的资源时将依赖的提供程序。 此文件的内容应显示在以下代码片段中：

terraform {
  required_version = ">=0.12"

  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~>2.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.0"
    }
    tls = {
      source = "hashicorp/tls"
      version = "~>4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

在同一目录中，使用以下代码创建名为 main.tf 的文件，该代码定义 Azure VM 配置及其依赖项：

resource "random_pet" "rg_name" {
  prefix = var.resource_group_name_prefix
}

resource "azurerm_resource_group" "rg" {
  location = var.resource_group_location
  name     = random_pet.rg_name.id
}

# Create virtual network
resource "azurerm_virtual_network" "terraform_network" {
  name                = "lnx-tf-vnet"
  address_space       = ["10.1.0.0/16"]
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
}

# Create subnet
resource "azurerm_subnet" "terraform_subnet" {
  name                 = "subnet0"
  resource_group_name  = azurerm_resource_group.rg.name
  virtual_network_name = azurerm_virtual_network.terraform_network.name
  address_prefixes     = ["10.1.0.0/24"]
}

# Create public IPs
resource "azurerm_public_ip" "terraform_public_ip" {
  name                = "lnx-tf-pip"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  allocation_method   = "Dynamic"
}

# Create Network Security Group and rule
resource "azurerm_network_security_group" "terraform_nsg" {
  name                = "lnx-tf-nsg"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name

  security_rule {
    name                       = "ssh"
    priority                   = 300
    direction                  = "Inbound"
    access                     = "Allow"
    protocol                   = "Tcp"
    source_port_range          = "*"
    destination_port_range     = "22"
    source_address_prefix      = "*"
    destination_address_prefix = "*"
  }
}

# Create network interface
resource "azurerm_network_interface" "terraform_nic" {
  name                = "lnx-tf-nic"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name

  ip_configuration {
    name                          = "nic_configuration"
    subnet_id                     = azurerm_subnet.terraform_subnet.id
    private_ip_address_allocation = "Dynamic"
    public_ip_address_id          = azurerm_public_ip.terraform_public_ip.id
  }
}

# Connect the security group to the network interface
resource "azurerm_network_interface_security_group_association" "lnx-tf-nic-nsg" {
  network_interface_id      = azurerm_network_interface.terraform_nic.id
  network_security_group_id = azurerm_network_security_group.terraform_nsg.id
}

# Generate random text for a unique storage account name
resource "random_id" "random_id" {
  keepers = {
    # Generate a new ID only when a new resource group is defined
    resource_group = azurerm_resource_group.rg.name
  }

  byte_length = 8
}

# Create storage account for boot diagnostics
resource "azurerm_storage_account" "storage_account" {
  name                     = "diag${random_id.random_id.hex}"
  location                 = azurerm_resource_group.rg.location
  resource_group_name      = azurerm_resource_group.rg.name
  account_tier             = "Standard"
  account_replication_type = "LRS"
}

# Create (and display) an SSH key
resource "tls_private_key" "lnx-tf-ssh" {
  algorithm = "RSA"
  rsa_bits  = 4096
}

# Create virtual machine
resource "azurerm_linux_virtual_machine" "lnx-tf-vm" {
  name                  = "lnx-tf-vm"
  location              = azurerm_resource_group.rg.location
  resource_group_name   = azurerm_resource_group.rg.name
  network_interface_ids = [azurerm_network_interface.terraform_nic.id]
  size                  = "Standard_F4s"

  os_disk {
    name                 = "lnx-tf-vm-osdisk"
    caching              = "ReadWrite"
    storage_account_type = "Premium_LRS"
  }

  source_image_reference {
    publisher = "Canonical"
    offer     = "0001-com-ubuntu-server-jammy"
    sku       = "22_04-lts-gen2"
    version   = "latest"
  }

  computer_name                   = "lnx-tf-vm"
  admin_username                  = "azureuser"
  disable_password_authentication = true

  admin_ssh_key {
    username   = "azureuser"
    public_key = tls_private_key.lnx-tf-ssh.public_key_openssh
  }

  boot_diagnostics {
    storage_account_uri = azurerm_storage_account.storage_account.primary_blob_endpoint
  }
}

在同一目录中，使用以下代码创建名为 variables.tf 的另一个文件，该代码将值分配给 main.tf 文件中出现的变量：

variable "resource_group_location" {
  default     = "eastus"
  description = "Location of the resource group"
}

variable "resource_group_name_prefix" {
  default     = "rg"
  description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription"
}

最后，使用以下代码创建名为 outputs.tf 的文件，它决定了成功部署后显示的输出：

output "resource_group_name" {
  value = azurerm_resource_group.rg.name
}

output "public_ip_address" {
  value = azurerm_linux_virtual_machine.lnx-tf-vm.public_ip_address
}

output "tls_private_key" {
  value     = tls_private_key.lnx-tf-ssh.private_key_pem
  sensitive = true
}

初始化 Terraform

若要初始化 Terraform 部署，请在 shell 提示符下运行以下命令：

terraform init

此命令下载预配和管理 Azure 资源所需的 Azure 模块。

生成执行计划

初始化后，运行 terraform plan 即可创建执行计划。 此命令将创建一个执行计划，但不会运行它。 相反，它会确定创建配置文件中定义的资源需要执行哪些操作。 可选的 -out 参数使你能够指定计划的输出文件，可以在实际部署期间引用该文件。 使用此文件可确保查看的计划与确切的部署结果匹配。 使用以下命令生成执行计划：

terraform plan -out <terraform_plan>.tfplan

启动部署

准备好将执行计划应用到 Azure 环境时，请运行 terraform apply，包括上一步中生成的文件的名称。 你将有另一个机会查看预期结果。 Terraform 将提示你进行确认以继续，不过你可以通过添加 -auto-approve 开关来消除提示。 使用以下命令启动部署：

terraform apply <terraform_plan>.tfplan

Azure VM 很快将开始运行，通常在几分钟内即会运行。 terraform apply 命令输出将包含输出列表，但 terraform 会将 tls_private_key 的值替换为 sensitive 标签<>：

Apply complete! Resources: 12 added, 0 changed, 0 destroyed.

输出：

public_ip_address = "74.235.10.136"
resource_group_name = "rg-flexible-shark"
tls_private_key = <sensitive>

若要使用自动生成的私钥对 SSH 连接进行身份验证，请将它存储在文件中，然后设置文件的权限，以确保其他人无法访问该文件。 为此，请运行以下命令：

terraform output -raw tls_private_key > id_rsa
chmod 600 id_rsa

此时，你将能够通过运行以下命令（将 <public_ip_address> 占位符替换为在 terraform apply 生成的输出中标识的 IP 地址后）连接到 Azure VM：

ssh -i id_rsa azureuser@<public_ip_address>