使用Terraform和Ansible实现安全左移，1. 通过Terraform定义网络隔离、加密配置与日志监控，2. 利用Ansible加固Linux主机权限、SSH配置与安全工具，3. 结合两者构建端到端自动化流水线并集成Vault管理凭据，4. 遵循版本控制、代码扫描与不可变基础设施等最佳实践，将安全嵌入运维全流程。
在现代 DevOps 实践中，安全不再是一个事后补救的环节，而是需要从基础设施构建之初就嵌入的系统性要求。通过使用基础设施即代码（IaC）工具如 Terraform 和 Ansible，你可以以可重复、可审计、自动化的方式管理 Linux 安全基础设施。以下是具体实践方法。
1. 使用 Terraform 构建安全的云基础设施
Terraform 能帮助你在云环境中定义和部署符合安全规范的网络与主机架构。关键在于将最小权限原则、网络隔离和加密配置编码化。
- 网络隔离：使用 Terraform 定义 VPC、子网、安全组和防火墙规则。例如，在 AWS 中限制 SSH 访问仅来自跳板机或特定 IP 段，禁止公网直接访问数据库实例。
- 启用加密：为 EBS 卷、S3 存储桶、数据库等资源强制开启静态加密，并通过 Terraform 配置密钥管理服务（如 KMS），确保密钥策略清晰且受控。
- 日志与监控集成：自动部署 CloudTrail、VPC Flow Logs 或 Azure Monitor 并发送到集中式存储，便于后续审计和入侵检测。
- 避免硬编码凭证：使用 IAM 角色而非访问密钥，通过 Terraform 创建具有最小权限的角色并绑定到 EC2 实例或其他服务。
2. 使用 Ansible 实现 Linux 主机层面的安全加固
当虚拟机或容器启动后，Ansible 可用于标准化操作系统级别的安全配置，实现一致性与合规性。
- 用户与权限管理：通过 playbook 禁用 root 登录、配置 sudo 权限策略、删除不必要的用户账户，并统一部署 SSH 公钥认证。
- SSH 安全配置：修改 /etc/ssh/sshd_config，关闭密码登录、更改默认端口、限制允许登录的用户组，再重启服务。
- 安装与更新安全工具：自动部署 fail2ban、auditd、AIDE（文件完整性检查）以及定期执行 yum/apt 更新的 cron 任务。
- 内核参数调优：使用 Ansible 修改 sysctl 参数，增强网络层防护（如反向路径过滤、SYN flood 防护）。
- 应用 CIS 基准：利用社区提供的 Ansible playbook（如 DevSec Linux Baseline）快速实施行业标准安全配置。
3. 结合 Terraform 与 Ansible 实现端到端安全流水线
两者结合可以覆盖从云资源创建到系统内部配置的完整链条。
- Terraform 在创建虚拟机后，可通过 local-exec 或 remote-exec 触发 Ansible Playbook 执行初始化加固。
- 更推荐的做法是：Terraform 输出目标主机 IP 列表，交由 CI/CD 流水线调用 Ansible 进行后续配置，实现职责分离与流程解耦。
- 结合 HashiCorp Vault，由 Terraform 请求动态数据库凭据或由 Ansible 在运行时安全获取敏感信息，减少明文暴露风险。
4. 安全最佳实践建议
- 版本控制所有 IaC 代码：将 Terraform 和 Ansible 配置纳入 Git，启用审查机制，防止恶意或错误变更。
- 静态代码扫描：使用 Checkov（Terraform）和 Ansible Lint 检测常见安全漏洞，如开放 0.0.0.0/0 的安全组规则。
- 不可变基础设施思维：避免手动修改线上服务器。任何变更都应通过 IaC 重新部署，保证环境一致性。
- 定期重放配置：周期性运行 Ansible 加固任务，纠正可能因人为操作导致的配置漂移。
基本上就这些。用好 Terraform 和 Ansible，不只是提升效率，更是把安全变成一种可验证、可持续演进的工程能力。不复杂但容易忽略的是细节——比如一个没关的端口，一段写死的密码，往往就是突破口。自动化不是终点，持续验证才是关键。
