在Azure Terraform AVM模块中实现多环境策略管理的实践

在Azure Terraform AVM模块中实现多环境策略管理的实践

terraform-azurerm-avm-ptn-alz Terraform module to deploy Azure Landing Zones 项目地址: https://gitcode.com/gh_mirrors/te/terraform-azurerm-avm-ptn-alz

背景介绍

Azure Terraform AVM模块是微软提供的用于在Azure上构建企业级架构的Terraform模块。在实际企业环境中，我们经常需要为不同环境（如开发、测试、生产）部署相同的策略架构，但需要根据环境特性调整具体参数值。

多环境策略管理方案

传统模板文件方案

在早期版本中，用户通常采用模板文件方式，通过template_file_variables变量为不同环境传递不同值。这种方法虽然可行，但存在以下局限性：

1. 需要在模块外部预先处理模板文件
2. 增加了部署流程的复杂性
3. 不利于模块的标准化管理

推荐的内置参数覆盖方案

AVM模块提供了更优雅的内置解决方案，通过以下两个关键输入变量实现多环境参数定制：

1. policy_default_values：用于设置策略参数的默认值
2. policy_assignments_to_modify：用于覆盖特定策略分配的参数

这种方法具有以下优势：

• 无需外部模板处理
• 配置集中管理
• 与Terraform工作流无缝集成

实施建议

基础架构组织

建议采用以下目录结构组织多环境部署：

alzlib/
    archetype_overrides/
        root_override.alz_archetype_override.json
    policy_assignments/
        audit_network_watcher.alz_policy_assignments.json
env/
    dev/
        main.tf
        provider.tf
    test/
        main.tf
        provider.tf
    prod/
        main.tf
        provider.tf

提供者配置

在provider.tf中配置ALZ提供者，引用基础库和环境特定库：

provider "alz" {
  library_references = [
    {
      path = "platform/alz",
      ref  = "2024.07.02"
    },
    {
      custom_url = "../../../alz_lib" # 公共库
    },
    {
      custom_url = "lib" # 环境特定库
    }
  ]
}

模块调用示例

在main.tf中调用模块并设置环境特定参数：

module "alz_architecture" {
  source             = "Azure/avm-ptn-alz/azurerm"
  version            = "0.8.1"
  location           = "norwayeast"
  architecture_name  = "prod-arch"
  parent_resource_id = data.azapi_client_config.current.tenant_id

  policy_default_values = {
    "Audit-NetworkWatcher" = {
      "effect" = "AuditIfNotExists"
    }
  }

  policy_assignments_to_modify = {
    "Audit-NetworkWatcher" = {
      "non_compliance_message" = "生产环境必须启用Network Watcher监控"
    }
  }
}

常见问题与解决方案

资源创建状态丢失问题

在使用早期版本时，可能会遇到角色定义创建后状态丢失的问题。这是由于底层Azure API的响应延迟导致的。解决方案包括：

1. 升级到azapi v2.0及以上版本
2. 适当配置超时和延迟参数
3. 采用新版模块（v0.9.0-beta及以上）

权限不足错误处理

在管理组创建过程中可能出现403权限错误，建议：

1. 确保服务主体具有足够权限
2. 添加适当的延迟配置
3. 实施重试机制

最佳实践

1. 版本控制：始终使用模块的固定版本，避免自动升级带来的不可预期行为
2. 参数集中管理：将环境特定参数集中定义，便于维护
3. 渐进式部署：先在小范围测试，确认无误后再推广到生产环境
4. 状态监控：密切关注部署过程中的状态变化，及时处理异常

未来改进方向

微软团队正在开发以下增强功能：

1. 基于azapi v2.0的自动重试机制
2. 更精细化的超时控制
3. 动态notScopes支持（已在terraform-provider-alz中跟踪）

通过采用上述方案，企业可以在保持策略架构一致性的同时，灵活地为不同环境定制参数，实现高效、可靠的Azure环境治理。

terraform-azurerm-avm-ptn-alz Terraform module to deploy Azure Landing Zones 项目地址: https://gitcode.com/gh_mirrors/te/terraform-azurerm-avm-ptn-alz