百思买（Best Buy）的GCP工程师Kishor Patil最近接受了一次访谈。访谈的主题围绕一个很多云上团队都会碰到的问题展开：合规这件事，能不能不靠人肉堆，而是用Terraform在GCP上自动化掉。

这个问题的背景并不复杂。合规工作长期被视为枯燥、重复、容易出错的负担，而云环境的动态性又让手工核查越来越不现实。Patil所在的团队选择的方向，是把合规规则写进基础设施即代码的流程里，让Terraform来承担执行和校验的角色。

打开网易新闻 查看精彩图片

为什么是Terraform，为什么是GCP

Terraform的价值在于它把基础设施描述成可版本化、可复用的配置文件。合规要求一旦被翻译成这些配置里的约束，就不再依赖某个人的记忆或某份过期的检查清单。GCP作为云平台，提供了对应的资源与权限体系，让这些约束有地方落地。

Patil在访谈中谈到的核心思路，是让合规从"事后审计"变成"事前定义"。团队不需要在部署完成后再去逐项核对，而是在写基础设施代码的阶段就把规则嵌进去。这样一来，不合规的配置在进入环境之前就会被拦下。

这种做法带来的直接变化是：合规不再是某个安全团队的专属任务，而是工程流程的一部分。开发者日常写Terraform的时候，就已经在满足合规要求，而不是等到审计季再临时抱佛脚。

自动化不等于放任

把合规交给自动化工具，并不意味着可以完全撒手。规则本身需要有人维护，云平台的政策会变，业务对资源的用法也会变。Patil的访谈里透露出的一层意思是，自动化解决的是执行的一致性问题，而规则的制定和更新仍然需要人的判断。

另一个容易被忽略的点是，合规自动化的收益不只是省时间。当规则被写成代码，它就变得可审查、可追溯、可测试。任何一次变更都能在版本历史里找到依据，这对需要向审计方证明控制有效性的团队来说，价值不小。

对于正在用GCP、又在为合规头疼的团队，Patil的这次访谈提供了一个具体的参照：把Terraform当作合规的执行层，而不是仅仅当作资源创建的工具。这个视角的转换，可能比换一套工具更关键。