oorabona/terraform

Terraform

企业级Terraform容器，配备全面的DevOps工具，用于多云基础设施即代码。提供针对AWS、Azure、GCP或全云环境优化的多种版本。


快速开始

bash
# 包含所有云CLI的完整版本（推荐用于开发）
docker pull ghcr.io/oorabona/terraform:latest

# 基础版本（最小镜像，无云CLI）
docker pull ghcr.io/oorabona/terraform:latest-base

# AWS专用版本
docker pull ghcr.io/oorabona/terraform:latest-aws

# Azure专用版本
docker pull ghcr.io/oorabona/terraform:latest-azure

# GCP专用版本
docker pull ghcr.io/oorabona/terraform:latest-gcp

可用版本

所有版本均包含核心安全和DevOps工具集。区别在于包含的云CLI：

版本详情

基础版 (*-base)

包含Terraform、安全扫描、代码检查和文档工具。无云提供商CLI。镜像体积最小。

工具：

• Terraform
• TFLint（代码检查）
• Trivy（安全扫描）
• Terragrunt（编排）
• terraform-docs（文档生成）
• Infracost（成本估算）
• GitHub CLI
• Git、Jq、Yq

AWS版 (*-aws)

包含基础版工具 + AWS CLI，适用于Amazon Web Services基础设施。

附加工具：

• AWS CLI（固定版本，确保可重现性）

Azure版 (*-azure)

包含基础版工具 + Azure CLI，适用于Microsoft Azure基础设施。

附加工具：

• Azure CLI（固定版本，确保可重现性）

GCP版 (*-gcp)

包含基础版工具 + Google Cloud SDK，适用于Google Cloud Platform基础设施。

附加工具：

• Google Cloud SDK（始终为最新版 - GCP安装程序不支持版本固定）
• gcloud、gsutil、bq命令

完整版 (*-full)

包含所有云CLI以及Jinja2模板引擎。推荐用于：

• 多云环境
• 开发和测试
• CI/CD管道
• 基于模板的基础设施

附加工具：

• AWS CLI
• Azure CLI
• Google Cloud SDK
• j2cli（Jinja2模板）

镜像标签

ghcr.io/oorabona/terraform:{version}-{flavor}

示例：

• latest 或 latest-full - 最新Terraform，包含所有云工具
• latest-base - 最新Terraform，无云CLI
• latest-aws - 最新Terraform，包含AWS CLI
• 1.10.3-azure - Terraform 1.10.3，包含Azure CLI

工具参考

所有版本均已固定，并自动监控更新：

内置实用工具

所有版本均包含：

• Git - 版本控制
• Jq - JSON处理器
• Yq - YAML处理器
• Bash - Shell脚本
• Curl - HTTP客户端
• Python 3 - 脚本运行时

使用方法

Docker Compose（推荐）

yaml
services:
  terraform:
    image: ghcr.io/oorabona/terraform:latest
    user: "1000:1000"
    volumes:
      - .:/data
      - ~/.aws:/home/terraform/.aws:ro  # AWS凭证（只读）
      - ~/.azure:/home/terraform/.azure:ro  # Azure凭证（只读）
      - ~/.config/gcloud:/home/terraform/.config/gcloud:ro  # GCP凭证（只读）
    environment:
      # 从环境变量传递凭证，切勿硬编码
      - AWS_ACCESS_KEY_ID
      - AWS_SECRET_ACCESS_KEY
      - AWS_DEFAULT_REGION
      - AZURE_SUBSCRIPTION_ID
      - AZURE_TENANT_ID
      - AZURE_CLIENT_ID
      - AZURE_CLIENT_SECRET
      - GOOGLE_APPLICATION_CREDENTIALS
      - TF_VAR_project_id

Docker Run

bash
# 初始化和计划
docker run --rm \
  -v $(pwd):/data \
  -v ~/.aws:/home/terraform/.aws:ro \
  ghcr.io/oorabona/terraform:latest-aws \
  init

docker run --rm \
  -v $(pwd):/data \
  -v ~/.aws:/home/terraform/.aws:ro \
  -e AWS_DEFAULT_REGION \
  ghcr.io/oorabona/terraform:latest-aws \
  plan

# 使用环境凭证应用
docker run --rm -it \
  -v $(pwd):/data \
  -e AWS_ACCESS_KEY_ID \
  -e AWS_SECRET_ACCESS_KEY \
  -e AWS_DEFAULT_REGION \
  ghcr.io/oorabona/terraform:latest-aws \
  apply

Jinja2模板（仅完整版）

完整版包含j2cli，用于基于模板的基础设施：

bash
# 创建带.j2扩展名的Terraform模板文件
# 示例：main.tf.j2
resource "aws_instance" "{{ instance_name }}" {
  instance_type = "{{ instance_type }}"
  ami           = "{{ ami_id }}"
}

# 创建包含模板变量的config.json
{
  "instance_name": "web-server",
  "instance_type": "t3.micro",
  "ami_id": "ami-12345678"
}

# 处理模板
docker run --rm \
  -v $(pwd):/data \
  ghcr.io/oorabona/terraform:latest \
  bash -c "for f in *.tf.j2; do j2 \$f config.json > \${f%.j2}; done && terraform plan"

安全扫描

bash
# 扫描Terraform配置中的错误配置
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  trivy config .

# 详细输出扫描
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  trivy config --format table --severity HIGH,CRITICAL .

# 扫描敏感数据
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  trivy fs --scanners secret .

代码检查

bash
# 初始化TFLint插件
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  tflint --init

# 检查Terraform文件
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  tflint

# 使用AWS插件检查
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest-aws \
  tflint --config=.tflint.hcl

文档生成

bash
# 从Terraform模块生成README.md
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  terraform-docs markdown table . > README.md

# 生成JSON输出
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  terraform-docs json . > module.json

成本估算

bash
# 生成成本明细
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  infracost breakdown --path .

# 比较分支间成本差异
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  infracost diff --path .

本地构建

bash
# 构建特定版本
docker build --build-arg VERSION=latest --build-arg FLAVOR=aws -t terraform:aws .

# 构建完整版（默认）
docker build --build-arg VERSION=latest -t terraform:full .

# 构建基础版
docker build --build-arg VERSION=latest --build-arg FLAVOR=base -t terraform:base .

构建参数

环境变量

卷

安全

基础安全

• 多阶段构建最小化***面
• 基于Alpine的最终镜像，减少占用空间
• 通过自动重建进行定期安全更新
• 包含Trivy安全扫描工具
• 默认非root用户执行
• terraform用户无shell访问权限（/sbin/nologin）

凭证安全（关键）

切勿在docker-compose.yml或Dockerfile中硬编码凭证：

yaml
# 错误 - 绝对不要这样做：
environment:
  AWS_ACCESS_KEY_ID: AKIAIOSFODNN7EXAMPLE

# 正确 - 使用环境变量：
environment:
  AWS_ACCESS_KEY_ID: ${AWS_ACCESS_KEY_ID}
  AWS_SECRET_ACCESS_KEY: ${AWS_SECRET_ACCESS_KEY}

# 更好 - 使用只读挂载的凭证文件：
volumes:
  - ~/.aws:/home/terraform/.aws:ro

运行时强化（推荐）

yaml
services:
  terraform:
    image: ghcr.io/oorabona/terraform:latest
    user: "1000:1000"  # terraform:terraform
    read_only: true
    tmpfs:
      - /.terraform.d
      - /.config
      - /tmp
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges:true
    volumes:
      - .:/data:ro  # 仅计划时设为只读
      - ~/.aws:/home/terraform/.aws:ro
    environment:
      # 从环境变量传递凭证，切勿硬编码
      - AWS_ACCESS_KEY_ID
      - AWS_SECRET_ACCESS_KEY
      - AWS_DEFAULT_REGION

扫描基础设施

bash
# 应用前扫描安全问题
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  trivy config --severity HIGH,CRITICAL .

# 扫描常见Terraform错误
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  tflint --enable-rule=terraform_deprecated_interpolation

# 检查代码中的密钥
docker run --rm -v $(pwd):/data ghcr.io/oorabona/terraform:latest \
  trivy fs --scanners secret .

依赖项

所有工具版本均已固定，并自动监控更新：

*Google Cloud SDK安装程序始终获取最新版本 - GCP安装程序不支持版本固定。config.yaml中的GCP_CLI_VERSION仅作参考。

架构

terraform/
├── Dockerfile                 # 多阶段、多版本构建
├── docker-entrypoint.sh       # 入口脚本
├── docker-compose.yml         # 示例组合
├── config.yaml               # 工具版本配置
├── version.sh                # 上游版本发现
└── build                     # 带自动版本检测的构建脚本

多阶段构建

Dockerfile使用多