获取 Terraform 代码和 AWS/云之间的区别 [关闭]

Question

关闭。 这个问题需要更加集中。 它目前不接受答案。

---

想改善这个问题吗？ 更新问题，使其仅通过编辑这篇文章来关注一个问题。

11 个月前关闭。

改进这个问题

出于质量原因，我想比较 AWS 服务和 Terraform 代码。 所以我有一个 AWS 环境和一些相应的 Terraform 代码。 目前还不清楚哪些是通过代码部署和配置的，哪些是通过控制台或通过两者的组合部署和配置的。

我想要的是类似于资源列表的东西，它们不是由 Terraform 创建的，对于配置也是如此。

有没有办法直接使用 Terraform（我没有找到）或者是否有其他自动解决方案？

如果从大约一年前发现这个： https : //www.reddit.com/r/devops/comments/9rev5f/how_do_i_diff_whats_in_terraform_vs_whats_in_aws/

但它也总结了我的问题，只有一个高努力的解决方案。

亲切的问候

Answer 1

实现此目的的最佳方法是确保您的所有 terraform 堆栈都将ManagedByTerraform类的标签应用于所有可标记资源。 然后，您可以提取所有未使用该标签标记的资源的报告。 任何没有该标签的可标记资源几乎肯定不是由 terraform 制作的。 除非您的权限有问题，允许人们通过控制台或其他方式删除此类标签。

这里唯一的缺点是并非所有东西都是可标记的。 如果您注意 AWS 发行说明，您会注意到一种趋势，即对所有资源都可标记的强烈且不断增加的推动。 所以情况越来越好。

如果您采用这种方法，我建议您也使用其他标签来帮助您了解 git repo/module/etc 也负责创建资源。

如果您想强制所有可标记资源都被标记，您可以查看策略即代码。 Open Policy Agent 允许您针对 terraform 计划运行规则。 还有哈希军团哨兵。

Pulumi有转换的概念。 转换可以使用函数更改所有资源，您可以使用短代码行在整个堆栈上注册转换。 这比策略实施要好，因为它只是更新您的资源以使其合规，而不仅仅是提醒您它们不合规。 换句话说，一致地标记所有资源非常简单。