cookielab/terraform

cookielab/terraform 镜像文档

镜像概述

cookielab/terraform 是一个集成了 Terraform 核心工具及多个辅助工具的容器镜像，旨在提供一站式的 Terraform 项目开发与运维环境。该镜像基于官方 Terraform 功能扩展，整合了 GitLab CI/CD 适配工具、安全扫描工具、代码规范检查工具及资源变更摘要工具，适用于本地开发、持续集成/持续部署 (CI/CD) 流程及基础设施即代码 (IaC) 审计场景。

项目代码仓库：https://github.com/cookielab/container-image-terraform

核心功能与特性

集成工具

• Terraform：官方 IaC 工具，用于定义、预览和部署云基础设施。
• GitLab Terraform wrapper：GitLab 官方提供的 Terraform 包装工具，优化 GitLab CI/CD 环境中的 Terraform 执行流程，支持状态文件管理与远程后端集成。
• TFSec：由 Aqua Security 开发的 Terraform 安全扫描工具，检测代码中的安全漏洞和不合规配置（如未加密的敏感数据、过度宽松的权限等）。
• TFlint：Terraform 代码规范检查工具，支持自定义规则，确保代码风格一致并提前发现语法错误。
• tf-summarize：Terraform 资源变更摘要工具，以简洁格式展示 terraform plan 输出的资源增删改信息，便于快速理解变更影响。

使用场景

1. 本地开发环境：无需在本地安装 Terraform 及相关工具，直接通过容器运行，保持开发环境一致性。
2. CI/CD 流程集成：在 GitLab CI/CD、GitHub Actions 等流水线中执行 Terraform 计划、应用、安全扫描及代码检查。
3. 基础设施审计：通过 TFSec 和 TFlint 对现有 Terraform 代码进行安全合规性与规范性检查。
4. 变更评审支持：使用 tf-summarize 生成简洁的变更摘要，辅助团队评审基础设施变更。

使用方法

基本使用（Docker Run）

1. 执行 Terraform 命令

挂载本地 Terraform 项目目录，运行基础 Terraform 命令（如 init、plan、apply）：

bash
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform init
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform plan
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform apply

2. 运行 GitLab Terraform wrapper

在 GitLab CI/CD 环境中，可直接使用 wrapper 命令替代原生 terraform，优化状态管理：

bash
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform-wrapper plan

3. 执行安全扫描（TFSec）

扫描当前项目的安全漏洞：

bash
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform tfsec .

4. 代码规范检查（TFlint）

检查代码规范性及语法错误：

bash
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform tflint

5. 生成变更摘要（tf-summarize）

结合 terraform plan 输出，生成资源变更摘要：

bash
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform plan -out=tfplan
docker run --rm -v $(pwd):/workspace -w /workspace cookielab/terraform terraform show -json tfplan | tf-summarize

Docker Compose 配置示例

创建 docker-compose.yml 文件，简化多命令执行：

yaml
version: '3'
services:
  terraform:
    image: cookielab/terraform
    volumes:
      - ./:/workspace
    working_dir: /workspace
    # 可根据需要覆盖命令，如执行 plan
    command: terraform plan

运行：

bash
docker-compose run --rm terraform

注意事项

• 数据持久化： Terraform 状态文件（.tfstate）默认存储在容器内，需通过挂载本地目录（如示例中的 -v $(pwd):/workspace）确保状态文件持久化。
• 权限配置：容器内默认使用非 root 用户，若本地目录权限受限，可通过 --user 参数指定用户 ID（如 --user $(id -u):$(id -g)）避免权限问题。
• 工具版本：镜像中的工具版本随上游项目更新，具体版本可通过 docker run --rm cookielab/terraform <工具名> --version 查看（如 terraform --version、tfsec --version）。