Providers 配置与版本锁定

这一课你将能做到

1. 说清楚 Terraform Core 与 Provider 的分工，正确声明 provider 来源和版本约束
2. 使用 provider 别名在一份配置里同时操作多个 AWS 区域
3. 读懂并维护 .terraform.lock.hcl 锁文件，解释为什么团队必须提交它

为什么要学

Terraform 本体其实「什么云都不懂」，它只负责解析 HCL、画依赖图、管理 state。真正调用 AWS API 建 EC2、调阿里云 API 建 ECS 的，是一个个 provider 插件。本站的基础设施横跨 AWS 东京区域（主业务）和 AWS 美东区域（异地备份桶、CloudFront 证书必须在 us-east-1），还可能要调 Cloudflare 管 DNS——这些全靠 provider 配置串起来。

版本问题是初学者和团队协作最容易踩的坑：你本机上周 apply 成功的配置，同事今天拉下来报一堆属性不存在，往往只是 provider 小版本差异。理解版本约束符号和锁文件，才能让「在谁的机器上跑结果都一致」。

先建立图像

┌────────────────────────────┐
│      Terraform Core        │  解析 HCL、依赖图、state、plan
└─────────────┬──────────────┘
              │ gRPC 插件协议
   ┌──────────┼────────────┐
   ▼          ▼            ▼
┌──────┐  ┌──────┐    ┌──────────┐
│ aws  │  │random│    │cloudflare│  ← 每个 provider 独立版本号
│5.40  │  │3.6   │    │4.20      │
└──┬───┘  └──────┘    └──────────┘
   ▼
AWS API（真实的 CreateVpc / RunInstances …）

provider 的配置链路：

required_providers（声明「我要谁、什么版本」）
      ↓ terraform init 下载
provider 块（配置「怎么连、连哪个区域/账号」）
      ↓
resource / data 块使用

跟着做

步骤 1：声明 required_providers

新建 providers-demo/versions.tf：

terraform {
  required_version = ">= 1.7.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"   # 注册中心命名空间/类型
      version = "~> 5.40"          # 允许 5.40 ~ 5.x（不含 6.0）
    }
    random = {
      source  = "hashicorp/random"
      version = "~> 3.6"
    }
  }
}

版本约束符号速查：

写法	含义
>= 5.0	5.0 及以上任意版本
~> 5.40.0	允许 5.40.x，不允许 5.41
~> 5.40	允许 5.40、5.41……但不允许 6.0
= 5.40.0	精确锁定（不推荐写死在配置里）

实践建议：配置里写 ~> 主版本.次版本 给出兼容范围，精确版本交给锁文件。

步骤 2：配置默认 provider

provider "aws" {
  region = "ap-northeast-1"

  default_tags {
    tags = {
      Project = "coderoadmap"
    }
  }
}

AWS provider 的凭证查找顺序：环境变量（ 等）→ 共享配置文件（，可用 指定）→ 容器/EC2 实例角色。所以配置里。