📁 Infrastructure as Code и управление конфигурацией

Короткий ответ Практичная структура — директория modules/ с переиспользуемыми модулями (сеть, кластер, база данных) и отдельная директория на каждое окружение (envs/dev, envs/staging, envs/prod), где у каждого окружения свой backend (свой state), свой *.tfvars с конкретными значениями (размер инстансов, CIDR, количество реплик) и один и тот же вызов общих модулей с разными параметрами; это даёт явную изоляцию state и прав доступа между окружениями при минимальном дублировании самой логики ресурсов. Как это работает подробнее каждая директория окружения — это самостоятельный корневой модуль Terraform со своим terraform init/plan/apply и своим backend key, а общий код (модули) подключается через относительный путь source = "../../modules/network", поэтому изменения в логике ресурса делаются один раз в модуле и переиспользуются во всех окружениях при следующем plan, а различия (размеры, количество, включённые фичи) остаются только в tfvars/вызовах модуля конкретного окружения. Пример кода Что использовать на пра

Читать полностьюconfiguration-management

Короткий ответ Версию модуля нужно явно указывать через параметр version (для модулей из Terraform Registry) или через ref на конкретный тег/коммит Git (?ref=v1.4.0) в source, а не на main/master; без фиксированной версии любое обновление кода модуля немедленно и незаметно влияет на всех потребителей при следующем terraform init -upgrade или даже при обычном init, если источник модуля не закреплён на неизменяемый коммит. Как это работает подробнее Terraform скачивает код модуля из source при terraform init и кладёт его в .terraform/modules; если source указывает на изменяемую ссылку (ветку), содержимое модуля может отличаться при каждой переустановке, а сам Terraform не хранит версию модуля в своём state как отдельную проверяемую величину — он просто применяет то, что скачал. Пример кода Что использовать на практике Практика. в организации стоит вести модули в отдельных репозиториях с семантическим версионированием и CHANGELOG, публиковать их либо во внутренний Terraform Registry, либо фиксировать ref на git-

Читать полностьюconfiguration-management

Короткий ответ Нужно применять изменение поэтапно по заранее определённым волнам риска: сначала в изолированном тестовом окружении с синтетической нагрузкой, затем в одном наименее критичном production-регионе/окружении с усиленным мониторингом сетевых метрик в течение достаточного окна наблюдения, и только после подтверждения отсутствия регрессии — расширять на следующие волны по одному региону/окружению за раз, с возможностью немедленно остановить раскатку и откатить изменение в конкретной волне, не трогая уже не затронутые регионы; одновременное применение ко всем регионам сразу максимизирует скорость, но делает blast radius равным всей инфраструктуре. Как это работает подробнее при поэтапном rollout критично, чтобы Terraform-state и пайплайн применения были организованы так, чтобы волны были физически независимы (отдельные state на регион/окружение, как в вопросе про мультирегиональную изоляцию), иначе "поэтапность" существует только на бумаге, а реальный apply всё равно идёт по одному общему state сразу

Читать полностьюconfiguration-management

Короткий ответ Нужно физически перенести код ресурса в файлы нового модуля, подключить модуль в корневой конфигурации, и либо добавить в конфигурацию блок moved { from = aws_security_group.app, to = module.security.aws_security_group.app } (Terraform 1.1+, предпочтительный декларативный способ), либо выполнить эквивалентную команду terraform state mv aws_security_group.app module.security.aws_security_group.app вручную; в обоих случаях реальный ресурс в AWS не удаляется и не создаётся — меняется только адрес ресурса внутри state, после чего terraform plan должен показать No changes. Как это работает подробнее Terraform сопоставляет ресурсы конфигурации с объектами state по полному адресу, включающему путь модуля (module.security.aws_security_group.app отличается от aws_security_group.app); блок moved фиксирует переименование прямо в конфигурации и применяется автоматически при каждом plan/apply, что удобнее для командной работы, чем разовая ручная команда state mv, которую нужно не забыть выполнить каждому, у

Читать полностьюconfiguration-management

Короткий ответ Нужно создать .j2-шаблон с циклом {% for %} по списку переменной (например, upstream_servers) и условием {% if gzip_enabled %} для опциональных блоков, подключить его через модуль ansible.builtin.template с указанием src/dest; для диагностики используется ansible-playbook --check --diff (покажет построчный diff без применения) или прогон модуля template в режиме с -vvv, а также точечная проверка конкретных значений переменных через ansible -m debug -a "var=upstream_servers". Как это работает подробнее модуль template рендерит Jinja2-шаблон на управляющей машине (control node), подставляя значения переменных, доступных для конкретного хоста (из inventory, group_vars, host_vars, facts), и копирует результат на целевой хост, сравнивая содержимое с уже существующим файлом для определения changed/ok; то есть вся логика выбора данных решается до копирования файла, а не на самом хосте. Пример кода Что использовать на практике Практика. при отладке шаблона полезно временно вывести промежуточное значени

Читать полностьюansible

Короткий ответ Пайплайн на PR должен выполнять terraform init + terraform plan -out=plan.tfplan, сохранять читаемый вывод (terraform show -no-color plan.tfplan) и публиковать его как комментарий к PR через API системы CI/VCS; после merge в main отдельный job выполняет terraform apply с ручным approval-гейтом (environment protection rule в GitHub Actions/manual gate в GitLab CI) и обязательно используя именно тот план, что был проверен (или заново сгенерированный план с тем же содержимым); одновременный запуск двух apply предотвращается как самим state locking backend'а (второй apply будет ждать/упадёт на занятом локе), так и организационно — настройкой очереди/конкурентности на уровне CI (например, concurrency group на имя окружения), чтобы не запускать два job параллельно на один и тот же state вообще. Как это работает подробнее CI-система видит каждый PR и merge как отдельное событие и по умолчанию может запускать job'ы параллельно; ограничение конкурентности (named concurrency group / environment lock в CI

Читать полностьюci-cd

Короткий ответ Нужно задать в объявлении переменной блок validation с условием (condition) и понятным сообщением об ошибке (error_message), а также по возможности ограничить тип через type (например, number, string) — тогда при передаче недопустимого значения Terraform остановится с явной ошибкой ещё до обращения к provider, а не при apply с малопонятным сообщением от API. Как это работает подробнее блок validation выполняется Terraform локально на этапе обработки конфигурации (во время plan/apply, до построения графа ресурсов), вычисляя булево выражение condition для значения переменной; если оно ложно, Terraform прерывает выполнение с заданным error_message, что происходит гораздо раньше и понятнее, чем ошибка от облачного провайдера при попытке создать ресурс с недопустимым параметром. Пример кода Что использовать на практике Практика. стоит добавлять валидацию для всех переменных, значения которых ограничены бизнес-правилами или возможностями провайдера (диапазоны, допустимые enum-строки, формат CIDR и т.

Читать полностьюcloud-infrastructure

Короткий ответ В пайплайн-модели CI имеет прямой push-доступ к кластеру и применяет изменения только в момент деплоя, то есть drift между деплоями не исправляется автоматически; в GitOps-модели pull-агент (Flux/ArgoCD) внутри кластера постоянно сверяет текущее состояние с Git и самостоятельно выполняет reconciliation, включая откат ручных изменений кем-то через kubectl, что даёт более сильную гарантию соответствия Git состоянию кластера, но требует, чтобы агент имел широкие права внутри кластера на изменение ресурсов, и смещает вопрос безопасности с "кто может запускать deploy pipeline" на "кто может мержить в Git-репозиторий манифестов" и "насколько защищён сам GitOps-агент". Как это работает подробнее при push-модели секреты для доступа к кластеру должны быть у CI-системы (внешней по отношению к кластеру), что создаёт риск утечки учётных данных кластера через CI; при pull-модели агент работает внутри кластера с учётными данными, не покидающими его, но сам агент становится высокопривилегированной целью атаки

Читать полностьюci-cd

Короткий ответ Нужно разделить политики по уровню строгости: небольшой набор hard-блокирующих правил только для однозначно недопустимых и дорого обходящихся рисков (публичный SSH/RDP, отключённое шифрование секретных данных), и более широкий набор warn-only/advisory правил, которые требуют явного подтверждения (например, обязательного объяснения в PR или approval второй командой) вместо автоматической блокировки; также необходим управляемый процесс исключений (exception process) с временным approved override и сроком действия, а не постоянные ручные обходы политики через отключение проверки целиком. Как это работает подробнее policy as code работает, анализируя план (JSON-вывод terraform show -json) или итоговые манифесты до их применения, и возвращает allow/deny на основе правил; жёсткая блокировка без пути легитимного исключения заставляет команды искать обходные пути (например, вручную редактировать ресурс после apply, что создаёт drift), поэтому важно не только писать правила, но и спроектировать процесс

Читать полностьюconfiguration-management