基礎(chǔ)設(shè)施即代碼（Infrastructure-as-Code，IaC）意味著使用代碼來定義和管理基礎(chǔ)設(shè)施，而不是使用手動流程。更重要的是，IaC是將軟件工程原則和方法引入云基礎(chǔ)設(shè)施。本文將探討IaC的基礎(chǔ)知識以及如何設(shè)置相關(guān)環(huán)境。

IaC簡介

在IaC之前，基礎(chǔ)設(shè)施是（某些情況下現(xiàn)在仍然是）通過簡單操作用戶界面、批處理腳本和配置管理工具等方法提供的，這些方法并不適用于當(dāng)今的云計算。

同樣，當(dāng)下很多所謂的IaC其實(shí)很大程度上更接近于“基礎(chǔ)設(shè)施即文本”。作為以結(jié)構(gòu)化文本編寫的基礎(chǔ)設(shè)施，它是可重復(fù)并且可以進(jìn)行版本控制的。但是，在實(shí)施需要與應(yīng)用程序代碼一起使用的軟件工程時，它就無法勝任了。例如，無法支持標(biāo)準(zhǔn)開發(fā)工具、測試框架或包管理。

真正意義上的IaC方案需要使用專為云上基礎(chǔ)設(shè)施設(shè)計的平臺，從而使標(biāo)準(zhǔn)軟件工程實(shí)施方案和工具都能夠得以應(yīng)用。

IaC為什么非常重要？

IaC之所以重要，主要有三個原因：

一是當(dāng)下企業(yè)向云的全面遷移。越來越多的工作負(fù)載正在從本地數(shù)據(jù)中心遷移到云端，并且這種趨勢會一直持續(xù)下去。然而，云計算本身并不是能夠保證和維持基礎(chǔ)設(shè)施可靠而又可擴(kuò)展的靈丹妙藥。與物理數(shù)據(jù)中心一樣，云基礎(chǔ)設(shè)施的腳本集也可能存在不一致、文檔記錄不充分等情況。由于IaC是強(qiáng)制執(zhí)行經(jīng)過驗(yàn)證的工程實(shí)施步驟，從而能夠?qū)⒒靵y的狀況整理得秩序井然。 

二是公眾使用云的方式更加復(fù)雜。商業(yè)用戶嘗試改變設(shè)施、模式和工作方式，以改善收益。IaC不只是簡單的資本支出與運(yùn)營支出，而是關(guān)乎如何整合構(gòu)成工程生命周期的所有因素，例如版本控制和測試，以釋放云可以提供的所有價值。它能夠使用工程實(shí)踐來充分挖掘云計算的潛力，從而更好更快地推動創(chuàng)新進(jìn)而推動公司業(yè)務(wù)。 

三是管理云上基礎(chǔ)設(shè)施的負(fù)荷不斷在增加。可用的云服務(wù)種類每年都在增長，越來越多的公司正在采用現(xiàn)代云設(shè)施（比如容器或無服務(wù)器設(shè)施）。這些設(shè)施往往包含許多松散耦合和相互依賴的組件，從而導(dǎo)致工程師必須管理的云資源數(shù)量以驚人的速度增長。這當(dāng)然是一件好事，因?yàn)檫@意味著商業(yè)用戶正在從云上獲得更多收益，推動了公司業(yè)務(wù)發(fā)展，但結(jié)果是云資源的復(fù)雜性和規(guī)模不斷增加。  

例如，從云上獲取收益的方法之一是充分利用云供應(yīng)商提供的越來越多的服務(wù)。這些服務(wù)可以推動創(chuàng)新并加快業(yè)務(wù)進(jìn)展。但同時，每一項新服務(wù)都會帶來新的API，這會增加基礎(chǔ)設(shè)施的復(fù)雜性。

隨著云資源規(guī)模和復(fù)雜性的增加，現(xiàn)代的IaC方法就是亟需的了。它可以幫助工程師構(gòu)建、部署和管理基礎(chǔ)設(shè)施。如果工程師管理的資源介于1到10個之間，那么簡單的點(diǎn)擊就可能能正常工作；當(dāng)管理10到100個資源時，“基礎(chǔ)設(shè)施即文本”或舊版IaC工具可能仍然能勝任。

但是一旦資源數(shù)目到了成百上千或成千上萬時會發(fā)生什么？這在今天并不罕見！最重要的是，這成千上萬的資源不是每月更新一次，而是每天更新多次。管理好這一切的最佳途徑是將用于應(yīng)用程序代碼的相同軟件工程實(shí)施方案和工具落實(shí)到位。

思考下列問題：

（1）如何確保我的基礎(chǔ)設(shè)施能夠快速擴(kuò)展、更改和發(fā)展，以支持業(yè)務(wù)并創(chuàng)造競爭優(yōu)勢？

（2）如何保持云基礎(chǔ)設(shè)施以及對其任何更改的可見性？

（3）如何制定策略和數(shù)據(jù)護(hù)欄來確保安全性和可靠性？

（4）如何通過更好的協(xié)作和流程，最科學(xué)地授權(quán)我的團(tuán)隊構(gòu)建、部署和管理基礎(chǔ)設(shè)施？

要解決以上問題需要一種現(xiàn)代的IaC方法。現(xiàn)代的IaC方法是充分挖掘云計算潛力的方式。

使用IaC的重要注意事項 

IaC平臺的選擇至關(guān)重要。如果使用者意欲使用已有的標(biāo)準(zhǔn)軟件工程工具和操作，那么在選擇時就要注重以下特點(diǎn)： 

1.標(biāo)準(zhǔn)語言

對標(biāo)準(zhǔn)語言的良好支持，意味著開發(fā)人員可以方便地使用相同的應(yīng)用程序代碼語言來定義和配置基礎(chǔ)設(shè)施，例如TypeScript、Go、Python和C#等常用語言。很多舊版的IaC工具使用自己的域特定語言 (DSL)，這可能會導(dǎo)致一些問題，比如開發(fā)人員經(jīng)常發(fā)現(xiàn)缺少常見的編程設(shè)施。

在所選擇的平臺上，工程師應(yīng)該能夠輕松創(chuàng)建強(qiáng)類型化、設(shè)施化的配置，并使用他們一直所依賴的功能，例如循環(huán)、常量和函數(shù)。并且，使用標(biāo)準(zhǔn)語言的另一個優(yōu)勢是開發(fā)人員對此早已熟悉，他們可以立即開始編碼。若是需要再去學(xué)習(xí)DSL的特性和局限性，大概是一件既耗費(fèi)時間又令人沮喪的事情。

2.標(biāo)準(zhǔn)開發(fā)工具

使用標(biāo)準(zhǔn)編程語言意味著開發(fā)人員還可以使用標(biāo)準(zhǔn)開發(fā)工具，例如IDE。一個優(yōu)點(diǎn)依然是熟悉程度，開發(fā)人員可以在他們習(xí)慣的環(huán)境中工作；另一個則是開發(fā)人員得以在一個能輕松編寫、調(diào)試、測試和部署代碼的環(huán)境中大顯身手。

3.測試框架

與應(yīng)用程序一樣，對基礎(chǔ)設(shè)施進(jìn)行徹底的測試非常重要。合格的IaC 平臺應(yīng)當(dāng)支持標(biāo)準(zhǔn)測試框架，還應(yīng)該能夠幫助團(tuán)隊擴(kuò)展其執(zhí)行的測試類型。

標(biāo)準(zhǔn)運(yùn)維測試側(cè)重于驗(yàn)收測試。這意味著運(yùn)維團(tuán)隊在云中啟動基礎(chǔ)設(shè)施，然后測試它們以查看是否完整無誤。毫無疑問，如果它沒有正確啟動，運(yùn)維團(tuán)隊需要將其銷毀并重新部署。但這并不是一個最佳方法，因?yàn)榭赡懿粦?yīng)該發(fā)生的事情已經(jīng)發(fā)生了，這取決于團(tuán)隊的反應(yīng)速度。合格的IaC平臺應(yīng)當(dāng)通過部署前和部署期間的頻繁測試來幫助團(tuán)隊“轉(zhuǎn)移風(fēng)險”。如果上述步驟還沒有執(zhí)行，那么團(tuán)隊?wèi)?yīng)能使用IaC平臺執(zhí)行以下類型的測試：

（1）單元測試

單元測試單獨(dú)評估基礎(chǔ)設(shè)施的行為。外部依賴項（例如數(shù)據(jù)庫）被替換為模擬，以檢查資源配置和響應(yīng)。之所以使用模擬是因?yàn)閬碜栽品?wù)供應(yīng)商的響應(yīng)是眾所周知的并經(jīng)過測試的。測試者已經(jīng)知道給定一些參數(shù)后供應(yīng)商將如何響應(yīng)。

單元測試在內(nèi)存中運(yùn)行，沒有任何進(jìn)程外調(diào)用，這使得它們非?？臁Ｔ陂_發(fā)過程中可以使用它們進(jìn)行快速反饋循環(huán)。單元測試確實(shí)可以幫助開發(fā)人員在基礎(chǔ)設(shè)施生命周期的早期解決問題。

（2）集成測試

集成測試（也稱為黑盒測試）單元測試之后進(jìn)行，它采用不同的方法。集成測試部署云資源并驗(yàn)證它們的實(shí)際行為——當(dāng)然是在一個臨時環(huán)境中。臨時環(huán)境是模擬生產(chǎn)環(huán)境的短期環(huán)境。它通常很簡單，且只包括正在測試的代碼的第一級依賴項。集成測試完成后，可以銷毀臨時基礎(chǔ)設(shè)施。

（3）安全測試

很多時候，安全測試被留到最后一刻，或者當(dāng)做是“完成”的代碼扔給安全團(tuán)隊，他們被排除在整個開發(fā)過程之外實(shí)際上，這種思路可以說是“自尋死路”。

現(xiàn)代IaC平臺應(yīng)該加密敏感的配置數(shù)據(jù)，并使遵循標(biāo)準(zhǔn)的安全實(shí)施（例如密鑰輪換）能夠順利執(zhí)行。還要檢查平臺是否加密了狀態(tài)元數(shù)據(jù)，并確保機(jī)密值永遠(yuǎn)不會以純文本形式公開。該平臺還應(yīng)與云提供商提供的安全服務(wù)能夠輕松無障礙集成。

此外，與其他類型的測試一樣，IaC平臺應(yīng)該幫助開發(fā)人員將自己編寫的安全測試添加到工作流程中。正如盡早對代碼實(shí)施單元測試一樣，你也應(yīng)該盡早測試以發(fā)現(xiàn)安全問題。這些測試屬于 CI/CD 管道，因此基礎(chǔ)設(shè)施在發(fā)布之前會進(jìn)行徹底的漏洞測試。

4.創(chuàng)建可重用組件

可重用組件意味著開發(fā)人員可以從單個組件中構(gòu)建更高級別的資源。有了它們，工程師就能夠創(chuàng)建可以在其他地方重用的有用抽象。這些組件可以使用公司內(nèi)部的最佳實(shí)踐方案來編寫，并在內(nèi)部和社區(qū)內(nèi)共享。使用可重用組件有助于創(chuàng)建可重復(fù)、可靠的基礎(chǔ)設(shè)施。所以，要認(rèn)真研究你正在考慮的平臺能否輕松創(chuàng)建這些組件。

5.標(biāo)準(zhǔn)包管理器

如若創(chuàng)建可重用的組件，則需要一種方法來打包它們，以便可以輕松實(shí)現(xiàn)共享。除了使用標(biāo)準(zhǔn)工具外，還需要對標(biāo)準(zhǔn)包管理器的支持。例如，開發(fā)人員可能希望將組件放入 GitHub存儲庫并通過NPM發(fā)布。那么IaC平臺應(yīng)該能夠輕而易舉做到這一點(diǎn)。

6.創(chuàng)建行為可見

為便于明確責(zé)任和相互協(xié)作，所有基礎(chǔ)設(shè)施資源的集中可見，更迭變化的歷史視圖可見，這些都很重要。開發(fā)人員選擇的平臺應(yīng)該具備日志審核以及云資源更改時差異可見的能力（類似于團(tuán)隊使用Git等協(xié)作工具的方式），從而為開發(fā)人員提供整個基礎(chǔ)設(shè)施的可見性。此外，該平臺還應(yīng)該可以設(shè)置細(xì)粒度的控制，以便控制哪些用戶可以訪問和更改基礎(chǔ)設(shè)施。

7.支持多個云供應(yīng)商

并非每家公司都希望使用多個云供應(yīng)商，但這是應(yīng)該考慮到的事情。如果開發(fā)人員想要保留多個選項，那就選擇不會局限于單個云供應(yīng)商的IaC平臺。

8.策略即代碼

另一個經(jīng)常被忽視的IaC方面是策略即代碼?，F(xiàn)代IaC平臺應(yīng)該允許開發(fā)人員將軟件工程原則和方法應(yīng)用于自己的策略，就像它對基礎(chǔ)設(shè)施所做那樣。策略即代碼的好處與基礎(chǔ)設(shè)施即代碼的好處大致相同。策略會在安全性、合規(guī)性以及成本控制方面持續(xù)實(shí)施組織的云治理。策略是明確的，可以使用標(biāo)準(zhǔn)語言和工具編寫，可以進(jìn)行版本控制、測試并最終集成到 CI/CD 管道中，從而使所有基礎(chǔ)設(shè)施都遵循公司的最佳實(shí)施方案。

基礎(chǔ)設(shè)施即代碼工具 

許多開源IaC工具可用于自動執(zhí)行資源分配、部署和管理。使用的關(guān)鍵在于正確選擇適合自己的基礎(chǔ)設(shè)施自動化工具。以下是常見的IaC類別和工具：

使用Terraform實(shí)施基礎(chǔ)設(shè)施即代碼 

Terraform是一個不受平臺所限平臺的開源工具，它允許開發(fā)人員將基礎(chǔ)設(shè)施編寫成為聲明性配置文件。Terraform支持眾多的云供應(yīng)商，使得開發(fā)人員能夠在AWS、Google Cloud、Azure和Oracle等主流云平臺中配置資源。

借助Terraform，工程師可以快速擴(kuò)展基礎(chǔ)設(shè)施資源的配置。自動化的部署過程能夠提高組織中開發(fā)團(tuán)隊的工作效率，從而使他們可以更改部署基礎(chǔ)設(shè)施。并且Terraform有助于減少對于集中式基礎(chǔ)設(shè)施團(tuán)隊的依賴，使開發(fā)團(tuán)隊能夠更快地行動，縮短業(yè)務(wù)功能耗費(fèi)的周期時間。 

使用 Terraform 配置資源，請使用以下命令：

使用Terraform模塊創(chuàng)建可重用的基礎(chǔ)設(shè)施

Terraform模塊的概念很簡單——開發(fā)人員可以在模塊內(nèi)編寫代碼，并在整個代碼庫的多個位置重用它。使用Terraform模塊，只需幾行代碼就可以快速構(gòu)建基礎(chǔ)設(shè)施。隨著基礎(chǔ)設(shè)施的不斷繁衍，開發(fā)人員需要在不同的環(huán)境（如開發(fā)和過渡期）中部署相似的資源，誰也不希望反復(fù)多次地復(fù)制粘貼相同的代碼。

Terraform模塊更易于閱讀。它們強(qiáng)制執(zhí)行最佳實(shí)施方案，開發(fā)人員不會在Terraform文件中進(jìn)行硬編碼。為使模塊可以被不同的團(tuán)隊重用并適應(yīng)各種實(shí)例，需要使其可配置。并且能夠?qū)⒏郊訁?shù)傳遞給環(huán)境的多個資源。由于是經(jīng)過嚴(yán)格測試和完全記錄的集中式模塊，因此Terraform非?？煽?。

對于最佳實(shí)施方案來說，應(yīng)當(dāng)開始將基礎(chǔ)設(shè)施視為可重用的模塊。Terraform模塊能夠促進(jìn)代碼的重用，避免重復(fù)，并有助于在組織內(nèi)部共享模塊。使開發(fā)人員可以有更多時間精力來提高集中式可重用模塊的質(zhì)量。

示例代碼：

下面是使用Terraform模塊在各種環(huán)境中創(chuàng)建AWS S3存儲桶所需的步驟。首先，我們使用AWS與所需資源進(jìn)行交互。以下代碼配置AWS提供者：

1 terraform { 
2   required_providers { 
3       aws = { 
4          source  = "hashicorp/aws" 
5          version = "~> 4.9" 
6        } 
7    } 
8  } 
9
10 provider "aws" { 
11   region = "us-east-1" 
12 }

現(xiàn)在創(chuàng)建一個用于配置S3存儲桶資源的Terraform模塊：

1 resource "aws_s3_bucket" "s3-bucket" { 
2    bucket = var.bucket 
3    policy = var.policy != null ? var.policy : null 
4    tags   = merge(var.tags, { Name = "${var.bucket}-bucket" }) 
5
6    server_side_encryption_configuration { 
7       rule { 
8          apply_server_side_encryption_by_default { 
9             sse_algorithm = "AES256" 
10        } 
11      } 
12     } 
13
 
14     dynamic "lifecycle_rule" { 
15         for_each = var.expire-days > 0 ? [var.expire-days] : [] 
16         content { 
17               id      = "expire" 
18               enabled = true 
19               expiration { 
20                  days = var.expire-days 
21                } 
22        } 
23    } 
24 }

左右滑動查看完整代碼

該模塊支持各種參數(shù)，如存儲桶、策略、過期日以及標(biāo)簽：

1 variable "bucket" { 
2     description = "S3 Bucket Name" 
3     type        = string 
4 } 
5 
6 variable "policy" { 
7     description = "Optional S3 bucket policy to apply. Should be a valid JSON string" 
8    type        = string 
9    default     = null 
10 } 
11 
12 variable "expire-days" { 
13    description = "If set to positive number, lifecycle policy for expiring the objects after specified number of days will be attached to the bucket" 
14    type        = number 
15    default     = 0 
16 } 
17
18 variable "tags" { 
19     description = "Common tags to be applied to all resources" 
20     type        = map(any) 
21}

左右滑動查看完整代碼

由于已經(jīng)創(chuàng)建了可重用的S3模塊，我們現(xiàn)在可以從各種環(huán)境（如dev或live）調(diào)用該模塊并傳入所需的變量。

1 module "dev-dzone-bucket" { 
2      source      = "../modules/s3-bucket" 
3      bucket      = "dev-dzone-iac-bucket" 
4      policy      = null 
5      expire-days = 7 
6      tags        = local.tags 
7 } 
8
9 module "live-dzone-bucket" { 
10      source      = "../modules/s3-bucket" 
11      bucket      = "live-dzone-iac-bucket" 
12      policy      = null 
13      expire-days = 14 
14      tags        = local.tags 
15 }

左右滑動查看完整代碼

Terraform項目中的文件布局類似于下圖 ，在“terraform-modules”（即Terraform模塊）下包含用于開發(fā)和生產(chǎn)環(huán)境的單獨(dú)文件夾，其中包含 AWS 資源。

啟用IaC的工作清單 

將現(xiàn)代IaC平臺引入初創(chuàng)公司，或者是具有許多綠地軟件項目的公司，可能并不困難。然而，對于大多數(shù)公司來說，卻并不是一件簡單的事情。許多公司，無論大小，都已經(jīng)存在很多通過云供應(yīng)商提供的簡易控制臺創(chuàng)建的基礎(chǔ)設(shè)施。很多新項目就是這樣簡單啟動的。然后，有一天，一位運(yùn)維工程師幡然醒悟，意識到現(xiàn)在新項目是生產(chǎn)基礎(chǔ)設(shè)施。為了使其更加“正式”，運(yùn)維團(tuán)隊編寫了一本運(yùn)行手冊或wiki，詳細(xì)解說如果有人想要執(zhí)行一項常見任務(wù)，應(yīng)該單擊哪些按鈕等等。還有一種常見的情況，那就是周圍全是只有一兩個人明白的Bash或PowerShell腳本。如果你面臨這樣的情況，你該怎么辦？

（1）保持冷靜

你應(yīng)該明白的是，變化有時候可能是令人感到恐懼的。許多人一想到要觸及基礎(chǔ)設(shè)施，就感到好像要崩潰一樣。他們認(rèn)為這太復(fù)雜了，搞不懂這個東西是如何工作的。所以，要有信心，才能解決問題。

（2）正確定義“完美”的概念?

開發(fā)人員應(yīng)該在開始評估工具和方法之前，要明白對于公司來說“完美”是什么一個概念。開發(fā)人員無論使用何種工具，一些假設(shè)都是既定存在的。明白這些才能實(shí)現(xiàn)目標(biāo)。團(tuán)體決策是正確制定公司云基礎(chǔ)設(shè)施業(yè)務(wù)目標(biāo)的途徑之一。

（3）選擇評估工具?

考慮上述關(guān)鍵點(diǎn)之后，將篩選完美平臺的選擇范圍縮小到幾個評估對象。開發(fā)人員可以設(shè)計一個小項目，目的是測試平臺，看它是否符合工作需求。

（4）導(dǎo)入現(xiàn)有基礎(chǔ)設(shè)施?

選擇工具之后，試著導(dǎo)入一些現(xiàn)有的基礎(chǔ)設(shè)施。如果開發(fā)人員選擇的平臺正確，這一步應(yīng)該輕而易舉。

（5）與現(xiàn)有工程實(shí)施方案集成?

如果基礎(chǔ)設(shè)施代碼集成持續(xù)交付管道，則可以開始建立與應(yīng)用程序代碼相同的最佳實(shí)施方案。

（6）從小處著手 

新建一項服務(wù)或從非關(guān)鍵服務(wù)開始——這樣即使出問題也不會影響業(yè)務(wù)。選擇一個項目，盡快看到意義和價值，然后進(jìn)行更新迭代。

 結(jié)論    

現(xiàn)代IaC是降低云復(fù)雜性、釋放云潛力從而推動創(chuàng)新的最佳途徑。選擇合適的平臺，使用現(xiàn)代IaC，開發(fā)人員可以將標(biāo)準(zhǔn)軟件工程實(shí)施方案和工具應(yīng)用于基礎(chǔ)設(shè)施。大體來說，可以獲得以下幾點(diǎn)益處。

1.推動創(chuàng)新、提高速度和敏捷性

借助現(xiàn)代IaC，團(tuán)隊可以將現(xiàn)代軟件開發(fā)中，相同的操作、嚴(yán)謹(jǐn)?shù)臏y試和自動化應(yīng)用于云基礎(chǔ)設(shè)施，從而提高發(fā)布的速度和可靠性，以便公司對客戶反饋?zhàn)龀隹焖俜磻?yīng)并及時更新。

2.降低基礎(chǔ)設(shè)施風(fēng)險

由于開發(fā)人員可以使用標(biāo)準(zhǔn)測試框架，因此IaC能夠“將風(fēng)險轉(zhuǎn)移”。盡早的、充分和完全的測試可以成為開發(fā)過程以及CI/CD 管道的一部分。由于策略和安全要求也包含在代碼里，故每次部署都會自動測試合規(guī)性和安全性。

3.加強(qiáng)合作?

現(xiàn)代IaC平臺使用標(biāo)準(zhǔn)工具和語言，可以打破基礎(chǔ)設(shè)施、應(yīng)用程序開發(fā)和安全團(tuán)隊之間的孤島。大家使用共享的實(shí)踐方案和工具，能促進(jìn)團(tuán)隊之間的協(xié)作。

參考鏈接：https://dzone.com/refcardz/getting-started-with-iac