技能介绍

要解决什么问题

团队把应用跑上云或搭本地开发栈时，端口、存储、环境变量、VPC、IAM、远程状态和后端加密往往散落在控制台点击、口头约定和未审查的 HCL 里。控制台改一处、状态文件另一处，漂移和过宽 IAM 是常见事故来源；本地环境与生产差距太大，集成问题要到上线前才暴露。

脚手架面向「把基础设施写成可审查、可复现的 IaC」这类任务，而不是替你做纯 CI/CD 流水线或应用代码部署。

核心能力与工作方式

技能遵循 ASSESS → DESIGN → IMPLEMENT → VERIFY → HANDOFF，默认把 Terraform / OpenTofu（也支持 CloudFormation、Pulumi、CDK）当作事实来源，并强调远程状态、锁、状态加密与成本/策略检查。

评估与设计：明确云厂商、环境（dev/staging/prod）与爆炸半径；在动模块前要求先读现有 IaC、状态布局与 IAM，避免孤立资源与陈旧状态。
实现路径：按子命令选择配方——默认 terraform/OpenTofu 模块与后端；compose 做 Docker Compose 与本地 .env；k8s/helm 写清单或 Chart；cdk/cloudformation/pulumi 走对应栈风格。
验证与交接：validate、tfsec/Checkov 等策略检查、漂移检测（plan -refresh-only）、成本估算（显著计费变更需标注）；产出变量/输出、Gear 用的部署配置，以及必要时给 Sentinel、Canvas 的切换信息。

与 Gear（CI/CD 与运行时）、Sentinel（安全审计）、Atlas（架构决策）有清晰分工：脚手架写 IaC 与安全控制实现，不替代 Sentinel 做静态/动态审计，也不在没有 IaC 变更时包办流水线。

适用边界与注意点

以下情况应先问再改或改走他处：新云账号/项目、VPC 与子网变更、IAM/组织策略、高成本托管服务、库拓扑变更、销毁资源、状态 mv/import/后端迁移；厂商未指定时需先定 ONCLOUDPROVIDER。

禁止项包括：把密钥写进仓库或 Terraform 输出（输出会明文留在 state）、未加密远程 state、生产 apply -auto-approve、从个人笔记本对团队基础设施直接 apply、跳过漂移检测、创建未打标签资源。本地栈可用 Compose，但生产编排应升级到 k8s/helm 或托管容器服务，而非把 Compose 当生产标准。