📁 Infrastructure as Code и управление конфигурацией

Короткий ответ output возвращает значения атрибутов ресурсов после apply (например, IP адрес, ARN, URL) для использования человеком, CI/CD-пайплайном или другим модулем/конфигурацией; посмотреть их повторно можно командой terraform output без необходимости что-либо применять заново. Как это работает подробнее значения outputs сохраняются в state вместе с ресурсами; terraform output просто читает их оттуда, а terraform output -json отдаёт их в машиночитаемом формате для скриптов. Пример кода Что использовать на практике Практика. outputs часто используют для передачи данных между слоями инфраструктуры (например, сетевой модуль выводит vpc_id, а конфигурация приложения читает его через terraform_remote_state data source или напрямую как output родительского модуля); в CI/CD output с адресом балансировщика можно подставить в smoke-тест после деплоя. Подводные камни Ошибка. пытаться получить output до первого успешного apply (значения просто отсутствуют в state); выводить чувствительные данные (пароли) в output б

Читать полностьюconfiguration-management

Короткий ответ Ansible Vault шифрует файлы (или отдельные строки) с чувствительными данными симметричным шифрованием по паролю/ключу, позволяя безопасно хранить секреты в репозитории рядом с остальным кодом и расшифровывать их только во время выполнения playbook. Как это работает подробнее команда ansible-vault encrypt шифрует YAML-файл целиком (AES256) под паролем, который хранится отдельно (менеджер секретов, файл с ограниченным доступом, переменная окружения); при запуске playbook Ansible расшифровывает файл "на лету", получив пароль через --ask-vault-pass, --vault-password-file или интеграцию с внешним менеджером секретов. Пример кода Что использовать на практике Практика. распространённый паттерн — хранить обычные переменные в vars.yml, а секреты в vault.yml, зашифрованном Vault, и подключать оба файла; для разных окружений можно использовать разные vault-пароли (vault-id), чтобы доступ к prod-секретам был ограничен. Подводные камни Ошибка. закоммитить расшифрованный файл по ошибке из-за отсутствия pre-c

Читать полностьюansible

Короткий ответ .tfvars-файлы содержат значения входных переменных конфигурации в формате имя = значение и подключаются через флаг -var-file, что позволяет использовать одну и ту же конфигурацию с разными наборами значений для разных окружений без изменения кода. Как это работает подробнее Terraform собирает значения переменных из нескольких источников с определённым приоритетом: значения по умолчанию в variable блоке, файлы terraform.tfvars/.auto.tfvars (подключаются автоматически), явно указанные -var-file, флаги -var и переменные окружения TF_VAR_ — более специфичный источник переопределяет более общий. Пример кода Что использовать на практике Практика. типичный паттерн — environments/dev.tfvars и environments/prod.tfvars с одинаковым набором имён переменных, но разными значениями (размер инстанса, количество реплик, CIDR), и один и тот же код применяется с флагом -var-file=environments/prod.tfvars. Подводные камни Ошибка. хранить чувствительные значения (пароли) прямо в .tfvars и коммитить файл в git; пута

Читать полностьюconfiguration-management

Короткий ответ provider подключает Terraform к конкретному API (облако, SaaS), resource описывает управляемый объект инфраструктуры, variable параметризует конфигурацию, output возвращает значения после apply, а data source читает уже существующие данные без управления ими. Как это работает подробнее каждый блок — декларативная единица: provider задаёт эндпоинт и учётные данные, resource маппится на конкретный API-объект и хранится в state, data source выполняет "только чтение" (например, узнать id текущего VPC), variable и output формируют интерфейс конфигурации для передачи значений снаружи и наружу. Пример кода Что использовать на практике Практика. provider обычно настраивается один раз на корень конфигурации; resource-блоки группируют по файлам (main.tf, network.tf); data source удобен, когда ресурс создан вне Terraform (например, существующий VPC, созданный другой командой); output используют для передачи значений между модулями или для вывода в CI/CD. Подводные камни Ошибка. пытаться "управлять" ресурс

Читать полностьюconfiguration-management

Короткий ответ Нужно настроить отдельный CI-джоб по расписанию (cron), который выполняет только terraform plan -detailed-exitcode (без apply) для каждого важного окружения, разбирает код выхода (0 — нет изменений, 2 — есть расхождения, 1 — ошибка) и при коде 2 отправляет уведомление команде с содержимым плана, оставляя решение о применении человеку, а не автоматизируя apply на обнаруженный drift. Как это работает подробнее terraform plan -detailed-exitcode сравнивает текущее реальное состояние ресурсов (через обращение к API провайдера) с тем, что записано в state и описано в конфигурации, и возвращает отличающийся от обычного plan код выхода, который легко разобрать скриптом в CI; сам факт расхождения между желаемым (конфигурация) и фактическим состоянием — это и есть drift, независимо от того, кто и как его внёс. Пример кода Что использовать на практике Практика. план с обнаруженным drift стоит отправлять в Slack/почту/issue-трекер с диффом и ссылкой на job, а не просто логировать «где-то в CI»; для критичн

Читать полностьюci-cd

Короткий ответ Handler — это задача, которая запускается только тогда, когда её явно "уведомила" (notify) другая задача, помеченная как changed, и выполняется один раз в конце play даже если уведомлений было несколько; это позволяет перезапускать сервис только при реальном изменении конфигурации, а не при каждом запуске playbook. Как это работает подробнее задача с notify: <имя handler> добавляет handler в очередь только если её статус — changed; в конце play (или раньше, если явно вызван flush_handlers) Ansible выполняет каждый уникальный handler из очереди ровно один раз, независимо от того, сколько задач его вызвали. Пример кода Что использовать на практике Практика. типичный паттерн — задача шаблонирования конфига (template) уведомляет handler "restart service"; если конфиг не изменился, handler не сработает, и сервис не будет перезапущен без необходимости, что снижает downtime при частых прогонах playbook. Подводные камни Ошибка. ставить обычную задачу service: state=restarted сразу после задачи шаблонир

Читать полностьюansible

Короткий ответ Перед destroy нужно проверить, на каком именно окружении/workspace выполняется команда, посмотреть план удаления и убедиться в наличии актуального бэкапа данных для stateful-сервисов; для удаления одного ресурса лучше удалить его блок из кода и выполнить обычный apply, либо временно использовать terraform destroy -target=<адрес_ресурса>. Как это работает подробнее terraform destroy строит план, в котором каждый управляемый ресурс помечен на удаление, и выполняет его в порядке, обратном зависимостям; флаг -target ограничивает план конкретным адресом ресурса, но Terraform всё равно может затронуть зависимые от него ресурсы. Пример кода Что использовать на практике Практика. перед запуском стоит явно проверить переменную окружения/workspace (terraform workspace show) и backend-конфигурацию, чтобы не удалить прод вместо dev; для продовых БД нужен подтверждённый недавний снапшот; команду стоит запускать интерактивно с ручным подтверждением, а не в автоматическом non-interactive режиме. Подводные кам

Читать полностьюconfiguration-management

Короткий ответ Роль — это переиспользуемый пакет автоматизации со стандартизированной структурой папок (tasks, handlers, templates, files, defaults, vars, meta), который можно подключать к разным playbook и окружениям; вынесение логики в роль избавляет от дублирования и упрощает повторное использование между проектами. Как это работает подробнее Ansible автоматически подхватывает файлы роли по соглашению об именах — tasks/main.yml выполняется при подключении роли, handlers/main.yml содержит обработчики уведомлений, templates/ хранит Jinja2-шаблоны конфигов, defaults/main.yml задаёт переменные с низким приоритетом (легко переопределить), vars/main.yml — с высоким. Пример кода Что использовать на практике Практика. роли публикуют и переиспользуют через Ansible Galaxy или приватный репозиторий; типичный playbook сводится к списку ролей, применяемых к группе хостов, что делает его компактным и декларативным. Подводные камни Ошибка. путать defaults и vars по приоритету переопределения, из-за чего переменная из gro

Читать полностьюansible

Короткий ответ Нужно описать новый backend в конфигурации, выполнить terraform init -migrate-state, которая скопирует существующий state в новое хранилище и подтвердит это, а также немедленно удалить terraform.tfstate из git и добавить файл в .gitignore; просто скопировать файл в S3 вручную недостаточно, потому что Terraform должен сам обновить метаданные backend и включить locking, а ручное копирование не гарантирует согласованность и не настраивает блокировки. Как это работает подробнее блок backend в конфигурации описывает, где Terraform хранит state и как блокирует его; при смене backend Terraform сравнивает текущий (locally known) state с целевым хранилищем и при -migrate-state переносит содержимое, сохраняя serial-номер версии state, чтобы не создать рассинхронизацию между старым и новым источником истины. Пример кода Что использовать на практике Практика. перед миграцией стоит сделать резервную копию текущего state (terraform state pull > backup.tfstate), выполнить миграцию на некритичном окне, когда н

Читать полностьюconfiguration-management