`plan` und `apply` automatisieren

Das manuelle Ausführen von terraform plan und terraform apply kann langsam und fehleranfällig sein, insbesondere in Teamumgebungen.

Die Automatisierung dieser Schritte innerhalb einer Continuous-Integration-/Continuous-Deployment-(CI/CD-)Pipeline bringt wesentliche Vorteile:

• Geschwindigkeit: Schnellere Infrastrukturänderungen.
• Konsistenz: Vermeidung menschlicher Fehler.
• Zuverlässigkeit: Vorhersehbare Bereitstellungen.
• Zusammenarbeit: Erleichtert die Prüfung und Genehmigung durch das Team.

Der Befehl terraform plan ist Ihr Sicherheitsnetz. Er zeigt genau, welche Änderungen Terraform an Ihrer Infrastruktur vornehmen wird, ohne sie tatsächlich auszuführen.

In einer CI/CD-Pipeline sollte plan bei jeder Codeänderung automatisch ausgeführt werden, beispielsweise bei einem Pull Request. So steht sofort eine Vorschau zur Prüfung bereit.

Die Integration von terraform plan in Ihre CI-Pipeline umfasst in der Regel einige Schritte:

1. Initialisieren: Führen Sie terraform init aus, um Ihr Arbeitsverzeichnis vorzubereiten.
2. Planen: Führen Sie terraform plan aus, um die geplanten Änderungen zu erzeugen.
3. Ausgabe: Erfassen Sie die Planausgabe zur Prüfung.

Ein vereinfachtes Beispiel dafür in einem CI-Skript sieht so aus:

# ci_plan_stage.sh
terraform init
terraform plan -out=tfplan

Nach der Ausführung von terraform plan ist dessen Ausgabe von entscheidender Bedeutung. Sie führt jede Ressource auf, die erstellt (+), aktualisiert (~) oder zerstört (-) wird.

Durch die Prüfung dieser Ausgabe, häufig in einem Kommentar zu einem Pull Request, lassen sich unbeabsichtigte Änderungen erkennen und die Integrität der Infrastruktur sicherstellen. Sie dient als wichtiger Kontrollpunkt.

Ein wichtiger Aspekt sicherer Automatisierung ist die Absicherung des Schritts terraform apply. In der Regel soll apply nicht unmittelbar nach jedem plan ausgeführt werden.

Stattdessen sollte die Ausgabe von plan von einem Teammitglied geprüft und ausdrücklich genehmigt werden. Diese Genehmigung, beispielsweise durch das Zusammenführen eines Pull Requests, löst anschließend die eigentliche Bereitstellung aus.

Sobald der terraform plan geprüft und genehmigt wurde, übernimmt terraform apply. Dieser Befehl führt die in Ihren Konfigurationsdateien definierten Änderungen aus.

In einer CI/CD-Pipeline wird apply häufig nach einem erfolgreichen Merge in einen dafür vorgesehenen Bereitstellungs-Branch wie main oder production ausgelöst oder nach der Genehmigung manuell gestartet.

Bei der Automatisierung von terraform apply verwenden Sie in CI/CD-Umgebungen häufig das Flag -auto-approve. Beachten Sie, dass dadurch die interaktive Bestätigungsabfrage übersprungen wird.

Stellen Sie stets sicher, dass dieser Schritt durch strenge Zugriffskontrollen geschützt ist und erst nach einer ausdrücklichen menschlichen oder automatisierten Genehmigung auf Grundlage eines erfolgreichen Plans ausgeführt wird.

# cd_apply_stage.sh
terraform init
terraform apply -auto-approve tfplan

Terraform ist auf Idempotenz ausgelegt. Das bedeutet: Wenn Sie terraform apply mehrmals mit derselben Konfiguration ausführen, werden nur dann Änderungen vorgenommen, wenn die Infrastruktur in der Realität nicht dem gewünschten Zustand entspricht.

Entspricht Ihre Infrastruktur bereits der Konfiguration, führt apply keine Änderungen durch. So werden konsistente und zuverlässige Bereitstellungen ohne unbeabsichtigte Nebenwirkungen sichergestellt.

Bei der Automatisierung von plan und apply gilt:

• Geringstmögliche Berechtigungen: Stellen Sie sicher, dass Ihr CI/CD-Agent nur die erforderlichen Berechtigungen besitzt.
• Remote-State: Verwenden Sie für die Zusammenarbeit im Team Remote-State-Backends mit Sperrfunktion.
• Versionskontrolle: Halten Sie alle Terraform-Konfigurationen unter Versionskontrolle.
• Überwachung: Richten Sie Überwachung und Benachrichtigungen für den Status von Bereitstellungen ein.

Überprüfen wir Ihr Wissen über die Automatisierung von Terraform in CI/CD!

In dieser Lektion haben wir gelernt, wie Sie terraform plan und terraform apply innerhalb einer CI/CD-Pipeline automatisieren.

• terraform plan liefert eine sichere Vorschau der Änderungen und eignet sich ideal für automatisierte Prüfungen und die menschliche Kontrolle.
• Die Absicherung von apply durch eine Genehmigung stellt sicher, dass kritische Änderungen geprüft werden.
• terraform apply automatisiert die Bereitstellung, häufig mit -auto-approve in kontrollierten Umgebungen.
• Dank der Idempotenz von Terraform sind automatisierte Bereitstellungen zuverlässig und vorhersehbar.

Diese Automatisierung ist entscheidend für eine effiziente, konsistente und gemeinschaftliche Verwaltung der Infrastruktur!