azure - 在 blob 存储帐户中组织 terraform 状态

Question

我刚开始使用 terraform 进行 Azure 资源管理。

我使用 azure blob 存储作为 terraform 状态文件的后端

我的项目由多个存储库组成，这些存储库映射到 Azure 订阅中的资源组

repository-a ---> azure-rg-a
repository-b ---> azure-rg-b

我的存储库的总体结构包括

repo-a
- src
- infra
   - env
      - dev.tfvars
      - xxx.tfvars (one per env)
   - main.tf
- tests
-------------------------------------------
repo-b
- src
- infra
   - env
      - dev.tfvars
      - xxx.tfvars (one per env)
   - main.tf
- tests

一个团队负责存储库和资源组。设置 Blob 存储的更好位置是什么

我尝试/想过做什么

• 选项 A:为每个资源组保留一个 Blob 存储。
  • 缺点:我不喜欢仅仅为了状态管理而拥有这么多存储帐户的想法

azure-rg-repo-a
 - repo-a-storageaccount
   - tfstate (container)
     - tfstate.tfstate (state file)

azure-rg-repo-b
 - repo-b-storageaccount
   - tfstate (container)
     - tfstate.tfstate (state file)

• 选项 B:将 Blob 存储保留在基础架构的单独资源组中

azure-rg-infrastructure
 - repo-infra-storageaccount
   - tfstate (container)
     - repo-a.tfstate (state file for repo-a)
     - repo-b.tfstate (state file for repo-b)

Answer 1

恕我直言，我会为所有状态文件使用单一存储，在 AWS 中，我们启用版本控制并防止删除，除非使用 MFA 根，严格限制对该存储的访问。此外，当您拥有包含基础设施 CICD 的共享帐户时，使用状态文件的单一事实来源是一个很好的模式。