Blokowanie stanu i spójność

Wyobraźmy sobie, że kilku członków zespołu próbuje jednocześnie aktualizować infrastrukturę w chmurze za pomocą Terraform. Brzmi chaotycznie, prawda?

Blokowanie stanu to kluczowy mechanizm, który temu zapobiega, zapewniając, że w danym momencie tylko jedna operacja może modyfikować stan Terraform.

Bez blokowania stanu, gdy dwie osoby jednocześnie uruchomią terraform apply:

• Jedna z nich może nadpisać zmiany drugiej.
• Plik stanu może zostać uszkodzony.
• Zasoby mogą zostać nieoczekiwanie utworzone lub usunięte.

Prowadzi to do niespójnej i zawodnej infrastruktury.

Blokada Terraform przypomina znak „proszę nie przeszkadzać” umieszczony na pliku stanu. Gdy Terraform rozpoczyna operację (taką jak plan lub apply), próbuje uzyskać blokadę.

Jeśli mu się to uda, kontynuuje działanie. W przeciwnym razie czeka lub zgłasza błąd, zapobiegając wprowadzaniu sprzecznych zmian przez inne osoby.

Terraform sam nie implementuje mechanizmu blokowania. Zamiast tego korzysta z możliwości wybranego zdalnego backendu.

Różne backendy oferują różne sposoby blokowania stanu, zapewniając operacje atomowe (wykonywane w całości albo niezrealizowane).

Większość popularnych zdalnych backendów zapewnia wbudowane blokowanie stanu:

• AWS S3: Często korzysta z DynamoDB do blokowania.
• Azure Blob Storage: Korzysta z dzierżaw obiektów blob.
• Google Cloud Storage: Korzysta z warunków wstępnych obiektów.
• Terraform Cloud/Enterprise: Obsługuje blokowanie wbudowane.

Usługi te zapewniają wyłączny dostęp do pliku stanu.

Oto sposób konfigurowania backendu S3 z usługą DynamoDB do blokowania stanu. Jeśli usługa DynamoDB zostanie określona, Terraform automatycznie z niej skorzysta.

Po uruchomieniu terraform plan lub terraform apply ze zdalnym backendem obsługującym blokowanie:

1. Terraform próbuje uzyskać blokadę w backendzie.
2. Jeśli mu się to uda, kontynuuje operację.
3. Jeśli blokadę ma inna operacja, Terraform czeka lub zgłasza błąd.
4. Po zakończeniu operacji blokada zostaje zwolniona.

Jeśli spróbują Państwo uruchomić Terraform, gdy inna operacja ma blokadę, zostanie wyświetlony komunikat podobny do tego:

Czasami operacja może zakończyć się niepowodzeniem lub ulec awarii, pozostawiając blokadę. W takich rzadkich przypadkach można użyć polecenia terraform force-unlock <LOCK_ID>.

Uwaga: Polecenia force-unlock należy używać tylko wtedy, gdy mają Państwo absolutną pewność, że żadna inna operacja nie jest uruchomiona. Niewłaściwe użycie może doprowadzić do uszkodzenia stanu!

Aby zapewnić spójność i zapobiegać problemom:

• Zawsze używaj zdalnego backendu obsługującego blokowanie stanu.
• Nigdy nie edytuj ręcznie pliku stanu.
• Unikaj używania terraform force-unlock, chyba że jest to absolutnie konieczne, i zachowaj przy tym najwyższą ostrożność.
• Integruj Terraform z potokami CI/CD, aby zapewnić kontrolowane wykonywanie operacji.

W tej lekcji omówiliśmy blokowanie stanu w Terraform. Dowiedziałeś się, dlaczego ma ono kluczowe znaczenie dla zapobiegania równoczesnym modyfikacjom i zapewniania spójności stanu infrastruktury, szczególnie w środowiskach zespołowych.

Zawsze konfiguruj zdalny backend z włączonym blokowaniem, aby chronić swoje wdrożenia!