Automazione di `plan` e `apply`

Eseguire manualmente terraform plan e terraform apply può essere lento e soggetto a errori, soprattutto negli ambienti di lavoro in team.

L'automazione di questi passaggi all'interno di una pipeline di Continuous Integration/Continuous Deployment (CI/CD) offre vantaggi significativi:

• Velocità: modifiche all'infrastruttura più rapide.
• Coerenza: elimina gli errori umani.
• Affidabilità: garantisce deployment prevedibili.
• Collaborazione: facilita la revisione e l'approvazione da parte del team.

Il comando terraform plan è la vostra rete di sicurezza. Mostra esattamente quali modifiche Terraform apporterà all'infrastruttura senza eseguirle effettivamente.

In una pipeline CI/CD, plan dovrebbe essere eseguito automaticamente a ogni modifica del codice (ad esempio, una pull request). In questo modo è possibile ottenere immediatamente un'anteprima da sottoporre a revisione.

L'integrazione di terraform plan nella pipeline CI prevede in genere alcuni passaggi:

1. Inizializzazione: eseguire terraform init per preparare la directory di lavoro.
2. Plan: eseguire terraform plan per generare le modifiche proposte.
3. Output: acquisire l'output del plan per la revisione.

Ecco un esempio semplificato di come potrebbe apparire in uno script CI:

# ci_plan_stage.sh
terraform init
terraform plan -out=tfplan

Dopo l'esecuzione di terraform plan, il relativo output è fondamentale. Fornisce i dettagli di ogni risorsa che verrà creata (+), aggiornata (~) o eliminata (-).

La revisione di questo output (spesso in un commento alla pull request) aiuta a individuare le modifiche indesiderate, garantendo l'integrità dell'infrastruttura. Funge da importante punto di controllo.

Un aspetto fondamentale dell'automazione sicura consiste nel sottoporre a controllo il passaggio terraform apply. In genere non si desidera che apply venga eseguito immediatamente dopo ogni plan.

Al contrario, l'output di plan dovrebbe essere esaminato e approvato esplicitamente da un membro del team. Questa approvazione (ad esempio, l'unione di una pull request) attiva quindi il deployment effettivo.

Dopo che terraform plan è stato esaminato e approvato, entra in funzione terraform apply. Questo comando esegue le modifiche definite nei file di configurazione.

In una pipeline CI/CD, apply viene spesso attivato dopo un merge riuscito in un branch di deployment designato (come main o production), oppure tramite un'attivazione manuale dopo l'approvazione.

Quando si automatizza terraform apply, negli ambienti CI/CD si usa spesso il flag -auto-approve. È importante sapere che questo flag salta la richiesta di conferma interattiva.

Assicurarsi sempre che questo passaggio sia protetto da solidi controlli di accesso e venga eseguito solo dopo un'approvazione umana o automatica esplicita, basata su un plan completato correttamente.

# cd_apply_stage.sh
terraform init
terraform apply -auto-approve tfplan

Terraform è progettato per essere idempotente. Ciò significa che, se si esegue terraform apply più volte con la stessa configurazione, verranno apportate modifiche solo se l'infrastruttura reale non corrisponde allo stato desiderato.

Se l'infrastruttura corrisponde già alla configurazione, apply non farà nulla, garantendo deployment coerenti e affidabili senza effetti collaterali indesiderati.

Quando si automatizzano plan e apply:

• Principio del privilegio minimo: assicurarsi che l'agente CI/CD disponga solo delle autorizzazioni necessarie.
• Stato remoto: utilizzare backend per lo stato remoto con locking per la collaborazione in team.
• Controllo versione: mantenere tutte le configurazioni Terraform sotto controllo versione.
• Monitoraggio: implementare il monitoraggio e gli avvisi per lo stato dei deployment.

Verifichiamo le vostre conoscenze sull'automazione di Terraform in CI/CD!

In questa lezione abbiamo imparato ad automatizzare terraform plan e terraform apply all'interno di una pipeline CI/CD.

• terraform plan fornisce un'anteprima sicura delle modifiche, ideale per i controlli automatici e la revisione umana.
• Sottoporre apply ad approvazione garantisce che le modifiche critiche vengano verificate.
• terraform apply automatizza il deployment, spesso con -auto-approve negli ambienti controllati.
• L'idempotenza di Terraform rende i deployment automatici affidabili e prevedibili.

Questa automazione è fondamentale per una gestione dell'infrastruttura efficiente, coerente e collaborativa!