📁 Infrastructure as Code и управление конфигурацией

Короткий ответ Состояние pending-upgrade означает, что Helm начал операцию upgrade, записал в свою историю релиза (Secrets/ConfigMaps в кластере) новую ревизию как "в процессе", но сама операция не была доведена до конца (например, упал pre/post-upgrade hook или процесс был прерван); чтобы выйти из застрявшего состояния, в современных версиях Helm 3 используется helm rollback <release> <revision>, который переводит релиз на конкретную прошлую ревизию, либо (если rollback невозможен из-за битой истории) аккуратно правится статус релиза в secret Helm вручную — но такой ручной способ рискованный и используется только как последнее средство. Как это работает подробнее Helm хранит историю релизов как отдельные объекты (по умолчанию Kubernetes Secrets) с манифестом и статусом каждой ревизии; при upgrade создаётся новая ревизия со статусом pending-upgrade, и только по завершении применения манифестов и всех хуков статус меняется на deployed, а предыдущая ревизия — на superseded; если процесс прерывается до этого пер

Читать полностьюconfiguration-management

Короткий ответ + означает создание нового ресурса, - — удаление существующего, ~ — изменение атрибутов на месте без пересоздания, а -/+ означает удаление и создание нового ресурса взамен (replacement); итоговая строка суммирует количество ресурсов по каждому типу действия. Как это работает подробнее Terraform вычисляет эти символы, сравнивая желаемую конфигурацию с данными из state (и опционально свежим refresh реального состояния); "updated in-place" означает, что провайдер поддерживает изменение этого атрибута без простоя и пересоздания ресурса (как в случае с тегами). Пример кода Что использовать на практике Практика. перед apply важно просматривать не только итоговую строку с числами, а каждый блок изменений — особенно обращая внимание на - (destroy) и -/+ (replace), так как они могут означать потерю данных или простой сервиса, если ресурс содержит state (например, EBS-том, база данных). Подводные камни Ошибка. считать, что раз итоговая строка выглядит компактно, то можно не читать детали; не замечать уда

Читать полностьюconfiguration-management

Короткий ответ Зависимость оформляется в файле roles/webserver/meta/main.yml в секции dependencies, где указывается роль common (при необходимости с параметрами); Ansible автоматически выполнит зависимые роли перед основной, так что порядок гарантирован даже если кто-то в будущем подключит webserver в плейбуке без явного упоминания common, в отличие от простого перечисления ролей в roles:, которое легко случайно нарушить при рефакторинге плейбука. Как это работает подробнее при выполнении плейбука Ansible разворачивает список ролей в плоский список задач, и для каждой роли с объявленными dependencies сначала подставляет задачи зависимых ролей (в порядке их перечисления, с дедупликацией по умолчанию, если роль уже была выполнена с теми же параметрами); это обрабатывается до начала основного прогона плейбука, то есть зависимости выполняются раньше, а не «по требованию» посреди задач. Пример кода Что использовать на практике Практика. зависимости в meta/main.yml удобны для ролей, которые переиспользуются в неско

Читать полностьюansible

Короткий ответ Нужно перейти от статичного хранения секретов в зашифрованных файлах к централизованному secret-хранилищу (например, HashiCorp Vault или облачный аналог) с динамической выдачей короткоживущих секретов: Terraform получает секреты через data source к Vault в момент apply (не храня их постоянно в конфигурации), Ansible — через community.hashicorp_vault lookup вместо расшифровки статичного vault-файла, а Kubernetes/Helm — через внешний secret-оператор (например, External Secrets Operator), синхронизирующий секреты из Vault в Kubernetes Secrets во время выполнения, а не зашитый в values чарта; это не устраняет полностью присутствие секрета в state (многие ресурсы всё равно требуют записи значения в state провайдером), но резко снижает время жизни скомпрометированного значения за счёт ротации. Как это работает подробнее динамические секреты в Vault выдаются с ограниченным TTL и привязаны к конкретной роли/политике доступа, поэтому даже утечка значения ограничена по времени его действия, а не живёт го

Читать полностьюansible

Короткий ответ Нужна комбинация превентивных и обнаруживающих мер: обязательное тегирование всех ресурсов (команда, окружение, владелец, срок жизни) через policy as code, проверяющую plan до apply; политики, ограничивающие дорогие типы ресурсов/размеры инстансов в неprod-окружениях без явного approval; автоматическое уничтожение временных dev-окружений по TTL (например, через scheduled job, который по тегу expiry удаляет ресурсы старше N дней); и алерты по аномальному росту расходов, привязанные к тегам команды/проекта, а не только общий биллинг-дэшборд, который кто-то должен регулярно и добровольно смотреть. Как это работает подробнее без обязательных тегов стоимость в биллинге облачного провайдера агрегируется плохо и не позволяет понять, какая команда/окружение несёт ответственность за рост, а без политик на этапе plan дорогой ресурс обнаруживается только постфактум, когда расход уже понесён за месяц; TTL-механизм для dev-окружений работает, потому что временные эксперименты по своей природе не нуждаются в

Читать полностьюcloud-infrastructure

Короткий ответ Динамический inventory получает список хостов и их группировку не из статического файла, а опросом внешнего источника (облачного API, CMDB) в момент запуска плейбука, поэтому он всегда отражает текущий набор инстансов; для AWS это настраивается YAML-файлом инвентаря с plugin: amazon.aws.aws_ec2, фильтрами по тегам и правилами keyed_groups для автоматической группировки, вместо того чтобы вручную поддерживать список IP при каждом масштабировании ASG. Как это работает подробнее при запуске ansible-playbook -i inventory_aws_ec2.yml плагин инвентаря обращается к EC2 API, получает список инстансов по заданным фильтрам (регион, теги, состояние running), и на основе keyed_groups/hostnames строит группы и имена хостов динамически на каждый прогон, то есть источником правды становится сам облак, а не файл в репозитории. Пример кода Что использовать на практике Практика. такой инвентарь стоит ограничивать фильтрами по тегам и регионам, чтобы не захватывать чужие или неожиданные ресурсы, и кэшировать резу

Читать полностьюconfiguration-management

Короткий ответ Helm использует шаблонный язык (Go templates) и подстановку значений из values.yaml в заготовки манифестов с версионируемыми "релизами", а Kustomize работает без шаблонов, просто накладывая декларативные патчи на валидные YAML-манифесты; Kustomize проще выбрать, когда манифесты почти одинаковы между окружениями и нет необходимости в пакетировании/версионировании чарта как отдельного артефакта. Как это работает подробнее в Helm шаблоны содержат конструкции {{ .Values.x }}, {{ if }}, {{ range }}, что даёт гибкость, но требует понимания шаблонного языка и усложняет чтение "сырых" манифестов до рендера; Kustomize хранит сами манифесты в валидном YAML и описывает только дельту (патчи, генераторы ConfigMap/Secret, смену namespace/префиксов), что проще читать напрямую. Пример кода Что использовать на практике Практика. Kustomize встроен в kubectl (kubectl apply -k) и не требует установки дополнительного CLI, что снижает порог входа для небольших проектов; Helm предпочтительнее, когда нужно публиковать

Читать полностьюconfiguration-management

Короткий ответ terraform init скачивает и устанавливает указанные providers и модули, инициализирует backend для state и подготавливает рабочую директорию (.terraform) к выполнению plan/apply; без неё Terraform не знает, какие плагины использовать. Как это работает подробнее Terraform читает блоки required_providers и module.source, скачивает нужные версии плагинов провайдеров в .terraform/providers, а модули — в .terraform/modules, и настраивает подключение к backend (например, S3) для хранения state. Пример кода Что использовать на практике Практика. init нужно повторять при клонировании репозитория на новую машину, при добавлении/обновлении провайдера или модуля, при смене backend. В CI/CD это всегда первый шаг пайплайна перед plan. Подводные камни Ошибка. забывать перезапустить init после изменения блока backend (Terraform может продолжать использовать старую конфигурацию до явного terraform init -reconfigure или -migrate-state); коммитить папку .terraform в git, что раздувает репозиторий и может привести

Читать полностьюconfiguration-management

Короткий ответ --check выполняет playbook в "сухом" режиме, показывая, какие задачи считались бы changed, без реального применения изменений, а --diff дополнительно показывает построчное различие для изменяемых файлов/шаблонов; точность ограничена тем, что не все модули полностью поддерживают check mode, а некоторые задачи зависят от результата предыдущих (ещё не реально выполненных) задач. Как это работает подробнее в check mode каждый модуль, поддерживающий этот режим, выполняет только проверку текущего состояния системы и сравнение с желаемым, не выполняя реального изменения; модули без явной поддержки check mode либо пропускаются, либо могут вести себя непредсказуемо. Пример кода Что использовать на практике Практика. --check --diff используют как предварительный просмотр перед применением playbook к продовым серверам, аналогично terraform plan; это особенно полезно перед массовым раскатом изменений конфигурации на большую группу хостов. Подводные камни Ошибка. полностью доверять check mode для playbook с

Читать полностьюansible