如何使用 Terraform 自动化管理 Windows 基础设施？

当 Windows 服务器数量从个位数增长到数十台时，手动执行系统配置、补丁安装和组件部署开始变得低效且容易出错。Terraform 作为基础设施即代码工具，能够将 Windows 实例的创建和配置流程固化为可重复、可审计的代码。但与 Linux 环境通过 SSH 进行管理不同，Windows 依赖 WinRM 协议、PowerShell 脚本以及注册表、服务等系统组件，这使得 Terraform 在 Windows 上的实践需要额外的配置和技巧。本文将深入探讨如何利用 Terraform 对 Windows 基础设施进行自动化管理，涵盖连接配置、组件安装、状态安全以及与 Linux 的差异对比。

Terraform 连接 Windows 的 Provider 与 WinRM 配置

在 Terraform 中，云厂商的 provider（如 AWS、Azure、vSphere）负责创建 Windows 虚拟机资源，但创建之后的系统内部配置需要依赖远程连接。Terraform 使用 connection 块定义连接参数，对于 Windows 实例，连接类型必须指定为 winrm。WinRM 是 Windows 远程管理协议，默认监听 5985（HTTP）和 5986（HTTPS）端口。不同于 Linux 的 SSH 密钥认证，WinRM 通常使用密码认证，也可以通过证书进行更安全的认证。

如果基础镜像没有预先启用 WinRM，后续的 provisioner 将无法执行任何远程命令。因此，在创建 Windows 实例时，需要通过 user_data 脚本在首次启动时自动开启 WinRM 并设置认证方式。以下示例展示了如何在 AWS EC2 上创建一个 Windows 实例，并配置 WinRM 连接：

provider "aws" {
  region = "us-east-1"
}

resource "aws_instance" "windows_server" {
  ami           = "ami-0abcdef1234567890"
  instance_type = "t3.medium"
  key_name      = "my-key"
  user_data     = <<-EOF
    <powershell>
    Enable-PSRemoting -Force
    Set-Item WSMan:\localhost\Service\Auth\Basic -Value $true
    Set-Item WSMan:\localhost\Service\AllowUnencrypted -Value $true
    </powershell>
  EOF

  connection {
    type     = "winrm"
    user     = "Administrator"
    password = var.admin_password
    host     = self.public_ip
    port     = 5986
    https    = true
    insecure = true
  }
}

上述配置中，user_data 包含一个 PowerShell 脚本块，用于启用 PSRemoting 并允许基本认证和不加密流量。connection 块中设置了 https = true 和 insecure = true，表示使用 HTTPS 连接但跳过证书验证。生产环境中，建议配置有效的 SSL 证书并将 insecure 设为 false，同时限制 WinRM 端口仅对特定的管理网络开放，以降低安全风险。

除了 AWS，Azure 和 vSphere 的 provider 也支持类似的 WinRM 连接配置。在 Azure 中，虚拟机资源创建后可以通过 azurerm_virtual_machine_extension 启用 WinRM，或者使用自定义镜像预先配置。无论在哪个平台，核心思路都是保证 WinRM 服务可用，并且 connection 块中的认证信息与实例一致。

使用 Terraform 安装和配置 Windows 系统组件

Windows 系统组件如 IIS、.NET Framework、Windows 服务以及注册表项，都可以通过 Terraform 的 remote-exec provisioner 执行 PowerShell 脚本来完成安装和配置。remote-exec 支持 inline 列表和 script 文件两种方式。inline 方式适合较短的命令序列，而 script 文件适合复杂的部署逻辑。以下示例演示了如何使用 remote-exec 安装 IIS 并启动万维网发布服务：

resource "aws_instance" "windows_iis" {
  ami           = "ami-0abcdef1234567890"
  instance_type = "t3.medium"
  # 省略其他实例配置和 connection 块

  provisioner "remote-exec" {
    inline = [
      "powershell -Command \"Install-WindowsFeature -Name Web-Server -IncludeManagementTools\"",
      "powershell -Command \"Set-Service -Name W3SVC -StartupType Automatic\"",
      "powershell -Command \"Start-Service -Name W3SVC\""
    ]
  }
}

上述 inline 列表中的每条命令都通过 powershell -Command 执行，确保命令在 PowerShell 环境中运行。安装 IIS 使用的是 Install-WindowsFeature cmdlet，这是 Windows Server 中管理和安装角色与功能的官方命令。如果使用较旧的 Windows Server 版本，也可以使用 dism /online /enable-feature /featurename:IIS-WebServer 命令。

注册表修改是 Windows 配置中的常见需求，比如调整系统参数、设置应用选项等。在 Terraform 的 remote-exec 中，可以直接调用 reg.exe 命令操作注册表。以下代码片段展示了如何添加一个注册表键值：

provisioner "remote-exec" {
  inline = [
    "reg add \"HKLM\\Software\\MyCompany\\MyApp\" /v Version /t REG_SZ /d 1.0.0 /f"
  ]
}

注意在 HCL 字符串中，反斜杠是转义字符，因此要表示注册表路径 HKLM\Software\MyCompany，必须写成 HKLM\\Software\\MyCompany。这与在正文中直接书写路径不同，代码中必须双写反斜杠。如果路径包含中文或空格，还需要用引号包裹整个路径字符串。

Windows 服务管理同样可以通过 sc.exe 或 PowerShell 的 Set-Service cmdlet 完成。例如，以下命令将某个服务的启动类型改为自动并启动服务：

Set-Service -Name "MyService" -StartupType Automatic
Start-Service -Name "MyService"

防火墙规则也是 Windows 安全配置的关键，可以使用 netsh advfirewall 命令添加。以下示例开放 80 端口：

netsh advfirewall firewall add rule name="Open Port 80" dir=in action=allow protocol=TCP localport=80

将上述命令放入 remote-exec 的 inline 列表中，即可在实例创建后自动完成防火墙规则的添加。需要注意的是，remote-exec 默认以 connection 块中指定的用户身份执行，如果该用户不是管理员，可能无法修改防火墙或注册表，此时需要确保连接用户具有管理员权限，或者在脚本中通过 Start-Process -Verb RunAs 提升权限。

Windows 基础设施的状态安全与密码管理

Terraform 状态文件 terraform.tfstate 会记录所有资源属性以及 provisioner 中使用的变量值。如果密码以明文形式出现在配置文件中，状态文件也会将其明文保存，这可能导致敏感信息泄露。为此，需要将密码相关变量标记为 sensitive，并使用 random_password 资源生成随机密码。标记为 sensitive 后，Terraform 在计划输出和状态文件中会隐藏该值，但仍需确保状态文件本身存储在安全的位置。

以下示例展示了如何生成随机密码并安全地输出它：

variable "admin_password" {
  type      = string
  sensitive = true
}

resource "random_password" "windows_admin" {
  length           = 20
  special          = true
  override_special = "!@#$%"
}

output "windows_password" {
  value     = random_password.windows_admin.result
  sensitive = true
}

除了敏感变量，状态文件的后端存储也必须加密。使用远程后端如 AWS S3 时，应启用服务器端加密（SSE-S3 或 SSE-KMS），并配合 DynamoDB 实现状态锁，防止多人同时修改状态导致冲突。在 Azure 中，可以将状态存储在 Azure Storage 并开启存储服务加密。Terraform Cloud 则提供了内置的加密和锁机制，适合团队协作。

密码轮换也是 Windows 安全运维的重要环节。通过 Terraform 的 random_password 结合云平台的参数存储服务（如 AWS SSM Parameter Store 或 Azure Key Vault），可以实现密码的自动生成、存储和引用。实例创建后，可以使用脚本将新密码写入参数存储，后续其他系统从参数存储中读取，避免密码在代码仓库中留存。

Windows 与 Linux 在 Terraform 管理中的关键差异

连接协议是 Windows 与 Linux 在 Terraform 管理中最直观的区别。Linux 实例默认使用 SSH（端口 22）和密钥认证，而 Windows 使用 WinRM（默认 5985/5986），认证方式可以是密码或证书。这意味着在 connection 块中，Linux 使用 type = "ssh"，Windows 使用 type = "winrm"。同时，Linux 的 user_data 通常使用 cloud-init 脚本，Windows 的 user_data 则使用 PowerShell 脚本块。

系统配置方式也有很大不同。Linux 通过包管理器（如 apt、yum）安装软件，而 Windows 使用 Windows Feature、MSI 安装包或 Chocolatey 等工具。Terraform 的 remote-exec 在 Linux 上执行 Bash 命令，在 Windows 上则执行 PowerShell 命令。此外，Linux 的文件系统使用正斜杠（/）分隔路径，Windows 使用反斜杠（\），例如 C:\Windows\System32。在 HCL 字符串中，反斜杠需要转义，这导致 Windows 路径在 Terraform 代码中容易出现双反斜杠（如 C:\\Windows\\System32），增加了编写难度和出错概率。

安全模型方面，Windows 有 UAC 用户账户控制、服务账户和注册表权限等机制，远程脚本可能需要以管理员权限运行，而 Linux 通常使用 sudo 提权。在 Terraform 中，Windows 的 remote-exec 默认以连接用户身份执行，如果该用户不是管理员，修改系统设置可能会失败。因此，创建 Windows 实例时通常直接使用管理员账户，或者通过组策略预先配置好权限。另外，Windows 的防火墙默认较为严格，需要额外开放 WinRM 端口和应用程序所需端口，而 Linux 的安全组规则通常更容易管理。

掌握这些差异后，运维团队可以针对 Windows 环境设计更合理的 Terraform 模块，将 WinRM 配置、PowerShell 脚本和状态安全策略封装成可复用的基础设施代码。通过不断迭代，最终形成一套既适合 Linux 也适合 Windows 的统一自动化运维体系，大幅提升混合环境下的管理效率。

TerraformWindows 基础设施自动化运维修改时间：2026-08-28 21:20:04