Opentofu

Cloudflare 起家是 CDN 和 DNS，现在的产品线已经覆盖网络、安全、开发者平台和存储。这篇先按用途列一遍常用服务，再单独讲 R2 对象存储和 Tunnel。各服务的额度和价格会调整，以官方文档为准（本文核对于 2026-10）。 服务一览 网络与安全 服务 说明 DNS 权威 DNS，免费。域名的 NS 指到 Cloudflare 以后，其他服务才能接上 CDN / 代理 DNS 记录打开代理（橙色云朵）后，流量先经过 Cloudflare 边缘节点，静态内容在边缘缓存 SSL/TLS 边缘证书自动签发；回源可用 Origin CA 证书（只被 Cloudflare 信任，有效期最长 15 年），模式应选 Full (strict) WAF / DDoS 防护 代理开着时自动生效，免费版有基础规则 Turnstile 人机验证，替代 reCAPTCHA，免费 Registrar 域名注册，按成本价续费，不加价 开发者平台 服务 说明 Pages 静态站点和前端项目托管，连 Git 仓库自动构建，见 Hugo + Cloudflare Pages 搭建个人博客 Workers 边缘 Serverless 运行环境，见 Cloudflare Workers KV 全球分布的键值存储，读多写少，最终一致 D1 基于 SQLite 的关系型数据库 R2 对象存储，兼容 S3 API，没有出口流量费，见下文 Durable Objects 带强一致状态的单实例对象，适合协同编辑、计数、WebSocket Queues 消息队列 Workers AI 在边缘调用推理模型 KV、D1、R2、Durable Objects、Queues 都可以通过 binding 注入 Worker 使用。 ...

什么是 OpenTofu OpenTofu 是 Terraform 的开源分支，用于以声明式的方式管理云基础设施（IaC，Infrastructure as Code）。 与 AWS CLI 的区别： OpenTofu AWS CLI 方式 声明式（描述终态） 命令式（执行具体操作） 状态管理 有 state 文件，追踪资源状态 无状态 典型场景 创建/销毁一整套基础设施 查询、临时操作 OpenTofu 和 AWS CLI 都直接调用 AWS API，不存在封装关系。 核心概念 Provider Provider 是 OpenTofu 操作各家云服务的插件，tofu init 时自动下载。 required_providers { aws = { source = "hashicorp/aws" version = "~> 5.0" } } Resource vs Data Source resource — 创建资源（EC2、VPC、安全组等） data — 查询已有信息，不创建资源 # 查询最新的 Amazon Linux 2023 AMI（不创建资源） data "aws_ami" "al2023" { most_recent = true owners = ["137112412989"] filter { name = "name" values = ["al2023-ami-2023.*-x86_64"] } } # 创建 EC2 实例（使用上面查到的 AMI ID） resource "aws_instance" "server" { ami = data.aws_ami.al2023.id instance_type = "t2.nano" } Variables 变量分两个文件： ...

GitHub 的 Personal Access Token（PAT）有两套互相独立、并列的机制：Classic 和 Fine-grained。两者各自有独立的设置页面和独立的 token 值，互不共享权限、互不影响——改了一个的 scope，对另一个没有任何作用。 对比 Classic token (ghp_...) Fine-grained token (github_pat_...) 权限粒度 粗粒度，按 scope 打勾（repo、admin:org、workflow …），一个 scope 覆盖你有权限的所有仓库/组织 细粒度，创建时指定 Resource owner（个人账号或某个具体组织），再选具体仓库（全部/指定几个），每个仓库单独授予 Contents / Administration / Issues 等权限 作用范围 只要本人对某组织/仓库有权限，token 默认就能操作（除非组织手动 Restrict） 天生绑死在创建时选的 Resource owner，只能代表操作那一个账号或组织下的资源 安全性 权限范围大，一旦泄露风险高 权限可以缩得很小，泄露影响面小，GitHub 官方推荐新场景一律用这个 过期时间 早期可选"永不过期" 设计上引导必须设置过期时间 组织侧控制 只有"全允许 / 全禁止"的粗暴开关（组织 Settings → Personal access tokens → Tokens (classic)） 组织可以看到每一个申请访问本组织资源的 fine-grained token，逐个 Approve / Deny / 撤销，可审计 Fine-grained 要解决的问题 Classic token 加 scope 解决不了几个结构性问题，这也是 GitHub 推出 fine-grained token 的原因： ...

在 Cloudflare 后台点几下就能建好一个 Pages 项目、绑好域名。想把这些配置变成可版本化、可复现的代码，就用 OpenTofu 来管理。本文只讲 Cloudflare 场景的具体写法，Provider、Resource、State 这些基础概念见 OpenTofu 入门。 目标 用 OpenTofu 声明式地管理三样东西： 一个连接 GitHub 仓库的 Cloudflare Pages 项目（含构建命令、产物目录、环境变量） 项目绑定的自定义域名 指向 Pages 的 DNS 记录 准备 需要两个 Cloudflare 侧的标识和一个 API Token： 变量 从哪来 Account ID Cloudflare 后台任意页面右侧栏，或 Workers & Pages 概览页 Zone ID 域名的 Overview 页面右侧栏 API Token My Profile → API Tokens → Create Token，授予 Pages 编辑和 DNS 编辑权限 Token 属于机密，不要写进代码，用环境变量注入： export TF_VAR_cloudflare_api_token="your-token-here" Provider 配置 terraform { required_providers { cloudflare = { source = "cloudflare/cloudflare" version = "~> 4" } } } variable "cloudflare_api_token" { type = string sensitive = true } variable "account_id" { type = string } variable "zone_id" { type = string } provider "cloudflare" { api_token = var.cloudflare_api_token } Pages 项目 cloudflare_pages_project 对应后台的一个 Pages 项目，source 块声明连接哪个 GitHub 仓库，build_config 对应构建命令和产物目录，deployment_configs 里可以设环境变量（例如 HUGO_VERSION）。 ...

背景 在 homelab 里用 OpenTofu 管理 PVE 上的 K8s 节点（例如 r86s 上的 k8s-51 control-plane、k8s-50 worker）。k8s-51 曾长期只分配 4GiB 内存，同时承担 API VIP、kube-apiserver 与 etcd Leader，容易出现 apiserver 访问本地 etcd 超时，进而导致其它节点因 node lease 续租失败 被标为 NotReady。 后续将 k8s-51 内存一度调到 8GiB 缓解压力；在 r86s 物理机仅 16GB、且 K8s 节点统一 balloon: 0 的前提下，又把 k8s-51 调回 6GiB，与 k8s-50 的 6GiB 合计约 12GiB，给宿主机留出缓冲。 本文记录：内存热扩容、memory balloon、以及 balloon: 0 时如何规划 VM 内存。 结论一览 问题 答案 PVE 能否在线加大内存？ 一般可以（只增不减时，多数情况无需先关机） 虚拟机内 Linux 能否感知并用上？ 可以，内核通过 ACPI 内存热插拔 online 新内存 虚拟机内要不要额外命令？ 加内存通常不需要（不同于磁盘要 growpart） 是否保证绝不重启？ 不保证；缩内存时更可能重启 balloon 在哪配置？ PVE 每台 VM 的配置文件，不是 Arch 里的设置 K8s 节点建议开 balloon 吗？ homelab 建议 统一 balloon: 0，靠给够 memory 而不是超卖 PVE / QEMU 侧 只加不减 在 PVE 中增大 VM 的 memory（单位 MiB，6GiB = 6144，8GiB = 8192）时，通常可对运行中的虚拟机通过 QEMU 热插内存条（ACPI DIMM hotplug） 完成。 缩小内存：一般需要关机或会触发重启；运行中缩容既不安全，也基本不可行。 开了 balloon，扩容还要不要 ACPI 热插拔？ 不能简单理解成「开了 balloon 就不用 ACPI 热插拔」，要分清你在改什么： ...