将 Google Cloud 资源导出为 Terraform 格式

您已经在 Google Cloud 中部署了资源,现在需要使用 Terraform 来管理基础架构即代码 (IaC)。Google 提供了一个工具,可用于为项目、文件夹或组织中的资源生成 Terraform 代码。

准备工作

  • 准备 Cloud Shell。

    启动 Cloud Shell,并设置一个默认 Google Cloud 项目,您将在该项目中为已部署的资源生成 Terraform 代码。

    您只需为每个项目运行一次以下命令,即可在任何目录中运行它。

    export GOOGLE_CLOUD_PROJECT=PROJECT_ID

    如果您在 Terraform 配置文件中设置显式值,则环境变量会被替换。

  • 在 Cloud Shell 中,安装 Config Connector 的命令行界面 (CLI)。

    gcloud components install config-connector
    

    借助 Config Connector,您可以使用 Google Cloud 的 Terraform 批量导出工具。

    如果看到 ERROR: (gcloud.components.install) You cannot perform this action because the Google Cloud CLI component manager is disabled for this installation,请改为运行以下命令:

    sudo apt-get install google-cloud-sdk-config-connector
    
  • 启用 Cloud Asset API。

    gcloud services enable cloudasset.googleapis.com
    
  • 确保 Cloud Asset Service Agent (gcp-sa-cloudasset.iam.gserviceaccount.com) 具有 roles/servicenetworking.serviceAgent 角色:

    gcloud projects add-iam-policy-binding PROJECT_ID \
      --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudasset.iam.gserviceaccount.com \
      --role=roles/servicenetworking.serviceAgent
    
  • 确保 Cloud Asset Service Agent (gcp-sa-cloudasset.iam.gserviceaccount.com) 具有 roles/storage.objectAdmin 角色:

    gcloud projects add-iam-policy-binding PROJECT_ID \
      --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudasset.iam.gserviceaccount.com \
      --role=roles/storage.objectAdmin
    

限制

系统不支持某些资源类型导出为 Terraform 格式,即使它们受 Terraform Google 提供商支持也是如此。如需查看支持导出为 Terraform 格式的资源类型列表,请运行 gcloud beta resource-config list-resource-types 命令。

将整个项目配置导出到 Terraform HCL 代码

gcloud beta resource-config bulk-export --resource-format=terraform 命令可导出项目、文件夹或组织中配置的资源,并以 HCL 代码格式将其输出到屏幕上。

gcloud beta resource-config bulk-export \
  --project=PROJECT_ID \
  --resource-format=terraform

将输出写入目录结构

  1. 创建一个目录以将项目配置输出到该目录(如果尚未创建该目录):

    mkdir OUTPUT_DIRECTORY
    
  2. 将项目的整个配置导出到该目录:

    gcloud beta resource-config bulk-export \
     --path=OUTPUT_DIRECTORY \
     --project=PROJECT_ID \
     --resource-format=terraform
    

    --path 标志指定 HCL 代码的输出位置。

运行该命令后,每个资源的 HCL 代码会输出到以下目录结构中一个单独的 .tf 文件:

OUTPUT_DIRECTORY/projects/PROJECT_ID/RESOURCE_TYPE

将输出写入单个文件

如果您不想输出到屏幕或创建单独的 .tf 文件,可以将所有输出写入单个文件,如以下示例所示:

gcloud beta resource-config bulk-export --resource-format=terraform >> gcp_resources.tf

过滤输出

您可以通过指定资源类型来过滤批量导出命令的输出。

列出要过滤的受支持的资源类型

如需查看支持导出为 Terraform 格式的资源类型列表,请运行 gcloud beta resource-config list-resource-types 命令:

gcloud beta resource-config list-resource-types

(可选)将输出写入到一个文件中:

gcloud beta resource-config list-resource-types >> strings.txt

在输出中,Compute Engine 虚拟机的资源类型如下所示:

KRM KIND: ComputeInstance

您可以忽略 KRM KIND: 前缀。

导出单个资源类型

使用字符串(如 ComputeInstance)以 HCL 代码格式导出项目的特定资源类型:

gcloud beta resource-config bulk-export \
  --resource-types=RESOURCE_TYPE \
  --project=PROJECT_ID \
  --resource-format=terraform

--resource-types 标志指定要输出的资源类型。

导出多个资源类型

以 HCL 代码格式导出虚拟机实例和防火墙规则:

gcloud beta resource-config bulk-export \
  --resource-types=ComputeFirewall,ComputeInstance \
  --project=PROJECT_ID \
  --resource-format=terraform

使用文件指定要导出的资源类型

  1. 创建名为 tf-output 的目录。

    cd && mkdir tf-output && cd tf-output
    
  2. 创建一个名为 types.txt 的文件,并添加资源类型列表。例如:

    ComputeBackendBucket
    ComputeBackendService
    ComputeForwardingRule
    
  3. 运行带有 --resource-types-file 标志的 gcloud beta resource-config bulk-export 命令:

    gcloud beta resource-config bulk-export \
     --resource-types-file=types.txt \
     --path=tf-output \
     --project=PROJECT_ID \
     --resource-format=terraform
    

如果项目不包含任何该特定资源类型的对象,则命令会成功,但不会为该资源类型输出任何内容。

问题排查

如果看到以下错误:

“在导出期间,权限遭拒。请确保已启用 Cloud Asset Inventory API。”

确保您已按照准备工作部分中的说明操作。

后续步骤