从零搭建Terraform CI/CD流水线terraform-skill的GitHub Actions与Atlantis实战模板【免费下载链接】terraform-skillTerraform OpenTofu Skill for AI Agents - testing, modules, CI/CD, and production patterns项目地址: https://gitcode.com/gh_mirrors/te/terraform-skill还在为 Terraform CI/CD 流水线从零摸索吗开源项目terraform-skill提供了一套经过实战检验的 Terraform OpenTofu 最佳实践技能内置 GitHub Actions 与 Atlantis 的完整流水线模板帮你快速搭出一条验证 → 测试 → 计划 → 应用四阶段的生产级 Terraform CI/CD 流水线。本文面向新手带你用最少的代码理解整条流水线的骨架与关键安全实践。为什么需要 Terraform CI/CD 流水线手工执行terraform apply是新手期最常见的操作但团队场景下它有三个致命问题无人把关改坏了配置直接打到生产环境无法追溯谁在什么时候改了什么没有记录成本失控测试资源忘删月底账单吓人一条规范的 Terraform CI/CD 流水线可以一次性解决这些问题每次代码变更自动验证、自动出计划、人工审批后应用并且全程留痕。认识 terraform-skillAI 代理的 Terraform 专家terraform-skill 是一个面向 Claude Code、Cursor、Copilot 等 AI 编码代理的技能包作者是 Anton BabenkoApache 2.0 协议。它的定位不是替代 CI 平台而是✅ 提供GitHub Actions / GitLab CI / Atlantis的现成流水线模板✅ 内置Infracost 成本估算、Trivy/Checkov 安全扫描接入方式✅ 覆盖远程状态S3/Azure/GCS锁定、OIDC 无密钥认证等生产细节✅ 附带一份常见错误清单连 AI 生成流水线时最容易犯的错误都提前标好了核心能力索引都写在主技能文件 SKILL.md 中CI/CD 的完整深度内容在 ci-cd-workflows.md命令速查表在 quick-reference.md。一键安装让 AI 代理成为你的流水线设计师安装只需一条命令。若需先克隆仓库到本地可用git clone https://gitcode.com/gh_mirrors/te/terraform-skill各代理的安装方式如 Cursor 克隆到~/.cursor/skills/、Claude Code 通过插件市场安装等在 README.md 的Per-host instructions一节有完整清单。安装后直接对 AI 说Create a GitHub Actions workflow for Terraform with cost estimationAI 就会基于技能包里的模板为你生成带成本估算的流水线而不需要你逐行手写 YAML。四阶段流水线validate → test → plan → applyterraform-skill 的流水线骨架是四个严格串行的阶段这也是业界公认的安全结构阶段干什么触发时机关键命令1️⃣ validate格式化检查 语法校验 Lint 安全扫描每个 PRterraform fmt/validate/tflint/trivy2️⃣ test运行terraform test原生测试1.6每个 PRterraform test3️⃣ plan生成计划文件并上传为产物每个 PRterraform plan -outtfplan4️⃣ apply下载已审查的计划并应用仅 main 分支推送terraform apply tfplan这个设计的精髓在于apply 阶段从不重新执行 plan。第 3 阶段产出的tfplan会作为工件artifact被保存第 4 阶段直接应用你审查过的同一份计划从机制上杜绝了本地计划 ≠ CI 计划的漂移问题。完整的 YAML 模板约 80 行可直接抄进.github/workflows/就在 ci-cd-workflows.md 的Complete Example一节。三个让流水线上生产的细节生产审批门apply 任务绑定environment: production在仓库的 Environments 保护规则中配置审批人无人点批准就无法部署。插件缓存设置TF_PLUGIN_CACHE_DIR并配合actions/cache缓存terraform init不再每次重新下载 provider单轮流水线可省下数分钟。安全扫描在 validate 阶段并行跑 Trivy 配置扫描与 Checkov安全不合规的变更在最早期就被拦下模板见 security-compliance.md。成本优化Terraform CI/CD 里最容易被忽略的一环很多团队 CI 账单比开发账单还高。terraform-skill 给出了四条省钱策略Cost Optimization一节PR 阶段用 mock1.7 的 mock provider 让单元测试零云成本集成测试只在 main 跑if: github.ref refs/heads/main条件执行️给测试资源打标签EnvironmenttestCreatedAt时间戳花钱可追踪定时自动清理每 2 小时的定时工作流扫描过期测试资源并销毁配合Infracost每次 PR 都会自动在评论区贴出这次变更预计增加/减少多少成本把 Terraform CI/CD 从能部署升级到懂成本。Atlantis 实战在 PR 评论区直接 plan 和 apply不想维护两套 CI 逻辑Atlantis 是另一条主流路线它监听 Pull Request你在 PR 里评论/terraform plan和/terraform apply它就把结果直接回复在 PR 里。terraform-skill 提供的atlantis.yaml模板Atlantis Integration一节演示了三个关键配置workflows: custom: plan: steps: - init - plan: extra_args: [-lockfalse]dirworkspace把不同环境如environments/prod映射为独立项目plan 阶段加-lockfalse避免多人同时 plan 时状态锁冲突apply 阶段保持简单靠PR 评论确认 状态锁天然防止并发变更结果计划结果以 PR 评论形式呈现、审批与执行都发生在代码评审上下文里、与 GitHub/GitLab/Bitbucket 无缝集成——这正是新手团队落地 Terraform CI/CD 阻力最小的路径。别忘了远程状态流水线的地基再好的流水线如果状态文件还在本地磁盘也是空中楼阁。terraform-skill 的铁律是团队或生产环境绝不用本地状态。以 AWS 为例推荐 S3 后端 原生use_lockfile锁Terraform 1.10替代 DynamoDB 加密 版本控制多团队则按prod/networking/、prod/compute/的混合模式拆分状态。选型对比表、迁移与恢复流程都在 state-management.md。认证方式上技能包强烈推荐OIDC 无密钥方案CI 通过 Workload Identity 临时换取云凭据彻底告别长期静态密钥。文档还附了一张 AWS/Azure/GCP 三大云平台的 OIDC 信任策略aud/sub取值对照表以及一条血泪教训sub绝不能用repo:*:*通配符否则仓库里任何分支都能扮演生产角色。漂移检测只告警不自动修一个反直觉的最佳实践定时漂移检测只告警、绝不自动 apply。用terraform plan -detailed-exitcode退出码 2 代表检测到漂移触发 Slack/工单告警由人来决定如何处理带外变更。ci-cd-workflows.md 里同时给了 ✅ 正确模板和 ❌ 反例cron 定时apply -auto-approve会静默覆盖人工改动值得对照阅读。总结与延伸阅读一条可靠的 Terraform CI/CD 流水线 四阶段骨架validate→test→plan→apply 审查过的 plan 工件 生产审批门 远程状态与状态锁 OIDC 认证 成本控制 只告警的漂移检测。terraform-skill 把这些经验全部固化成了可直接套用的模板。更多资料可从以下文件入手 项目总览与安装README.md 技能核心工作流SKILL.md⚙️ 流水线完整模板GitHub Actions / GitLab CI / Atlantis / 成本优化ci-cd-workflows.md️ 远程状态与锁定state-management.md 安全与合规扫描security-compliance.md 测试框架选型原生 test vs Terratesttesting-frameworks.md 命令速查表quick-reference.md 版本演进记录CHANGELOG.md把模板放进仓库让 AI 代理帮你填空你的第一条生产级 Terraform CI/CD 流水线今天就能跑起来。【免费下载链接】terraform-skillTerraform OpenTofu Skill for AI Agents - testing, modules, CI/CD, and production patterns项目地址: https://gitcode.com/gh_mirrors/te/terraform-skill创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考