Pinterest 如何通过集中式 Terraform 管道在大规模环境中保障 AWS 基础设施的安全

Pinterest公布其自研Terraform执行引擎“资源配置器管道”（RPP），用于保障大规模AWS基础设施安全。该系统管理数千个云资源，包括IAM策略、VPC、负载均衡器、S3存储桶及Kubernetes集群。鉴于Terraform代码分散于多个代码库，RPP作为集中式复合GitHub Actions运行，通过OIDC令牌验证和链式角色模型，在拉取请求触发时执行分工作区的plan/apply操作。管道先读取权威数据源配置，校验工作区代码路径与S3后端及KMS密钥匹配，再承接受限团队角色，经人工评论审批后应用变更。该模型提供单一控制点，便于集中修复系统性问题，并支持基于Semgrep的静态分析与LocalStack干跑测试。RPP为私有系统，其“工作区-路径-角色”映射及双重控制（代码评审加显式PR评论）机制，为多代码库Terraform环境实施最小权限原则提供了参考。