Terraform

AWS Secrets Manager是亚马逊的原生密钥管理服务，用于安全存储、检索、轮换和审计数据库凭证、API密钥等敏感信息。

本文详细介绍了Terraform中秘密管理的核心问题和解决方案。

文章介绍了Web3项目从使用Docker Compose进行早期开发转向使用Terraform管理生产级基础设施的过程。重点阐述了Docker负责应用容器化与Terraform负责环境编排的区别，并强调了自动化部署和安全性在系统扩展中的核心作用。

文章围绕 Terraform 中的密钥管理展开，指出密钥在 plan、apply 和 state 持久化三个阶段最容易泄露，常见风险来自 .tfvars、环境变量、provider 配置和模块输入。

文章介绍了 Terraform v1.10 新增的 ephemeral resources（临时资源）机制，核心目标是解决密钥、Token、证书等敏感信息在 plan/state 文件中明文落盘的安全问题。

本文围绕 GitOps 场景下的密钥管理展开，指出传统把密钥加密后写入 Git 的方案虽然保留了版本控制优势，但在轮换、动态更新、多集群管理和运维复杂度上存在明显问题。

作者在使用Claude Code AI agent协助Terraform迁移网站时，因未正确管理Terraform状态文件，导致agent执行`terraform destroy`意外删除了生产数据库及所有自动快照。

本文介绍了Thanos测试网的基础设施管理、部署和测试，包括使用Terraform管理基础设施即代码、自动化存款/取款测试、性能测试工具Tokamak-trunks。重点提到了Ecotone升级后blob成本的问题，以及应对blob价格异常飙升的策略，例如回退到calldata。文章还提到了未来将根据calldata和blob的费用自动切换的策略。

文章对比了 Terraform 与 OpenTofu 的关系、许可证和功能差异。核心结论是：两者在语法、扩展性和部署方式上几乎一致，OpenTofu 主要继承自 Terraform 最后一个开源版本，并持续追平新特性；真正的分水岭在于许可证——Terraform 转向 BSL 后限制了商业分发，而 OpenTofu 保持 MPL 2.0，更符合开源社区期待。文章还顺带介绍了如何用两者接入 Infisical 做密钥管理，强调 IaC 工具本身并不负责秘密管理。