在自動更改DNS之前，先對其進行審核
基礎設施即程式碼可以為身份驗證記錄提供明確的所有者、可審查的歷史記錄和可重複的更改過程。它還可以快速地在多個名稱中重複錯誤。因此，目標是控制已識別記錄集的更改，並將部署批准和DNS驗證與成功的程式碼審查分開。
本文使用 2026 年 11 月 8 日審閱時顯示為 v1.17.x 的 Terraform CLI 文件分支。這是一個工作流程討論，而不是特定於提供者的配置方案或有關已安裝版本的聲明。確切的 Terraform 補丁、 DNS提供者外掛程式版本、後端和帳戶需要記錄才能實作。此處未執行提供者初始化、規劃、部署、憑證操作或DNS變更。
定義儲存庫擁有的內容
從準確的所有者名稱、類型和記錄集邊界的清單開始。指定負責的團隊 SPF， 每個 DKIM選擇器, DMARC 策略和提供者管理的別名。將委派區域和外部目標包含在依賴關係圖中，即使它們不是由同一儲存庫管理的。一個 CNAME 可以使本地配置依賴另一個組織的DNS和服務生命週期。 RFC 1034
在將現有記錄匯入任何工具之前解決重疊所有權問題。如果一個DNS面板和兩個自動化系統都聲明同一組，則整潔的拉取請求不會阻止一個系統撤銷另一個系統的工作。建立緊急手動編輯和事後協調的流程。不要把每一次外部的改變稱為未經授權的漂移；首先確定聲明的配置是否仍然是批准的意圖。
對於一個虛構的 DKIM 推出後，映射應將新選擇器的公共DNS材料連接到將使用該選擇器簽署的寄件者。私有簽署金鑰屬於已核准的簽章系統，而不是在通用DNS儲存庫中。單獨發佈公鑰不會改變發送者的行為。 RFC 6376
將依賴關係記錄為變更的一部分
透過檢視保留 Terraform 版本要求、選定的提供者版本和相關模組版本。 HashiCorp 記錄了依賴鎖定檔案記錄了提供者選擇和校驗和；它不會以相同的方式鎖定遠端模組選擇。在可行時單獨審查依賴項更改，以便 一個記錄 編輯不會隱藏提供者升級。 Terraform 依賴鎖定文件
將現有狀態和恢復材料置於組織批准的存取控制之下。狀態是工具使用的映射，不能取代可讀區域基線或記錄級逆轉計劃。在進行高影響力的過渡之前捕獲提供者數據和當前預期的公眾答案。記錄團隊無法恢復哪些依賴項以及誰擁有這些恢復步驟。
將驗證與實際計劃分開
提議的命令 地形驗證 檢查已初始化工作目錄中的設定一致性。它不會驗證提供者的即時 API 或遠端服務。這不是在文件練習期間安裝外掛程式或初始化後端的原因。操作員必須先確認所需的環境和依賴項已獲得授權。 地形驗證
提議的命令 地形計劃 預覽更改並通常讀取現有的遠端物件。它不應用提議的基礎設施更改，但它不是離線文字檢查：可能涉及提供者、憑證、資料來源和狀態存取。在允許制定計劃之前，請檢查配置和執行環境。沒有部署並不意味著憑證處理變得無關緊要。 地形計劃
將可讀計劃視為特定配置、狀態和觀察時間的證據。如果帳戶狀態隨後發生變化，則不能再假定先前的預覽描述了最終操作。避免做出綠色計劃證明安全性或可交付性的廣泛承諾。它既不能證明所提出的策略是明智的，也不能證明接收系統可以檢索結果資料。
查看確切的DNS效果
提議的審查表應標識區域、所有者、類型、舊值、新值、TTL 以及每個建立、更新或刪除。解釋固定提供者文件中的任何替換語意。程式碼中的單一資源可能代表一個記錄集，因此審閱者必須了解是否可以刪除不相關的值。如果該映射不清楚，請在批准更改之前停止。
使用特定於身份驗證的檢查而不僅僅是語法測試。提議的SPF替代品必須保留授權的發送設計；選擇者輪換需要發送者轉換計劃； DMARC政策變更需要有關執行的負責任的決策。這些是審查問題，而不是允許自動化推斷新的發送服務或政策承諾。將批准與確切的結果差異連結起來。
在虛構的選擇器推出中，要求在發送者轉換之前驗證新的查找依賴項，並記錄舊選擇器何時可以安全地退役。不要僅僅為了保持儲存庫整潔而將先前金鑰的刪除與初始發布捆綁在一起。時間安排應遵循經批准的郵件工作流程和觀察到的證據，而不是複製到管道中的通用數字。
像配置一樣小心地保護審查工件
即使終端輸出隱藏了敏感值，已儲存的計畫也可能包含敏感值。 Terraform 的敏感標記本身並不會將值保留在狀態和計劃文件之外。避免將憑證、私鑰或未經編輯的工件放置在拉取請求和廣泛的聊天管道中。僅與授權審閱者分享最少的審閱資料。 Terraform 敏感數據
指定誰可以讀取狀態、誰可以請求計劃以及誰可以批准和執行部署。審核環境並不需要廣泛的寫入權限，只因為稍後的部署環境需要廣泛的寫入權限。憑證建立或權限擴充是其自身授權的安全性操作，而不是採用基礎設施即程式碼的隱含部分。
將回滾和驗證視為新工作
恢復提交更改聲明的意圖；它不會立即恢復DNS 。回滾提案需要與當前記錄進行新的比較、審查計劃並檢查舊值是否安全。重新套用過時的基準可以刪除合法的並發編輯或恢復已停用的寄件者依賴。快取的答案可以在正向或反向變更後保留。 RFC 2308
在獨立批准的部署之後，保留準確的權威和遞歸查找證據以及相關的郵件觀察。僅當實際狀態與批准的結果匹配或剩餘差異有所有者時才關閉變更。本手稿的精確記錄差異、依賴關係圖、恢復材料和更改的成績單仍然是發布要求。記錄的工作流程是為該證據做準備，而不是部署成功的證據。