Infrastruktura jako kód (Infrastructure as Code)

Příklady z praxe

1. 01

   Bucket pro aplikační logy

   Vývojový tým potřebuje stejné logovací úložiště pro testovací prostředí po každém založení účtu. Terraform konfigurace vytvoří bucket a zapne verzování, takže se stejný stav dá znovu nasadit z repozitáře. Při změně názvu nebo nastavení review ukáže přesný rozdíl před aplikací.

   resource "aws_s3_bucket" "logs" {
     bucket = "acme-app-logs-dev"
   }
   
   resource "aws_s3_bucket_versioning" "logs" {
     bucket = aws_s3_bucket.logs.id
   
     versioning_configuration {
       status = "Enabled"
     }
   }

2. 02

   Kubernetes deployment v repozitáři

   Provozní tým chce mít Kubernetes aplikaci popsanou stejně v testu i produkci. YAML manifest určuje deployment se dvěma replikami a konkrétním obrazem kontejneru. Pokud někdo repliku ručně smaže, správce clusteru ji podle deklarovaného stavu znovu vytvoří.

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: web
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: web
     template:
       metadata:
         labels:
           app: web
       spec:
         containers:
           - name: web
             image: nginx:stable

Časté omyly

MýtusIaC je prostě Terraform.

Ve skutečnostiTerraform je častý nástroj pro infrastrukturu jako kód, ale není jediný. Stejný princip používají také jiné nástroje a formáty, například cloudové šablony, Kubernetes manifesty nebo konfigurační systémy.

MýtusKdyž máme IaC, nikdo už nesmí nikdy kliknout v cloudové konzoli.

Ve skutečnostiRuční zásah může být v incidentu nutný, ale měl by se následně promítnout zpět do konfigurace. Jinak vzniká drift a repozitář přestává popisovat skutečné prostředí.

Časté dotazy

Kdy se infrastruktura jako kód vyplatí i u malého projektu?

Infrastruktura jako kód dává smysl i u malého projektu, pokud se prostředí bude opakovaně vytvářet, předávat mezi lidmi nebo obnovovat po chybě. Jednorázový osobní experiment si často vystačí s ručním nastavením. Malý produkční projekt ale rychle získá výhodu z verzované konfigurace, protože změny databáze, DNS, úložiště nebo práv nezůstanou jen v hlavě jednoho administrátora.

Čím se infrastruktura jako kód liší od skriptu pro nastavení serveru?

Infrastruktura jako kód se od běžného skriptu liší tím, že obvykle popisuje požadovaný stav prostředí a pracuje s evidencí existujících zdrojů. Skript často jen provádí příkazy v daném pořadí a po opakovaném spuštění může vytvořit duplicity nebo skončit chybou. IaC nástroj typicky porovnává aktuální stav s konfigurací a rozhoduje, co je potřeba změnit.

Kam patří hesla a tokeny při používání IaC?

Infrastruktura jako kód nemá obsahovat tajné hodnoty přímo v repozitáři. Bezpečnější postup je uložit hesla, tokeny a privátní klíče do správce tajemství a do konfigurace dávat jen odkazy nebo názvy proměnných. Repozitář s IaC se často čte v CI/CD a při code review, takže omylem uložené tajemství se může rychle rozšířit mimo původní tým.

Znamená IaC automaticky bezpečnější infrastrukturu?

Infrastruktura jako kód omezuje ruční chyby, ale sama o sobě nezaručuje bezpečné prostředí. Chybná konfigurace může automatizovaně otevřít síťový port, přidělit příliš široká oprávnění nebo smazat důležitý prostředek. Bezpečnost IaC stojí na review, testech politik, oddělených oprávněních, zálohách a kontrole plánu před nasazením.

Zdroje

1. What is Infrastructure as Code (IaC)?(otevře se v novém okně)Amazon Web Services
2. What is Infrastructure as Code?(otevře se v novém okně)Microsoft Learn
3. Terraform on Google Cloud(otevře se v novém okně)Google Cloud
4. Object Management(otevře se v novém okně)Kubernetes

Související pojmy

• CI/CDCI/CD je sada postupů a automatizací, které průběžně integrují změny kódu, ověřují je testy a připravují nebo provádějí nasazení aplikace. Cílem je zkrátit cestu od commitu k bezpečnému vydání, snížit ruční práci a rychle odhalit chyby v build procesu, konfiguraci nebo samotném kódu.
• KubernetesKubernetes je open-source platforma pro orchestraci kontejnerů, která automatizuje nasazování, škálování, síťování a obnovu aplikací běžících na více serverech. Vývojářům a DevOps týmům umožňuje popsat požadovaný stav systému deklarativně a nechává cluster průběžně dorovnávat realitu podle této definice bez ručního spouštění jednotlivých procesů.
• Automatické škálováníAutomatické škálování je řízení výpočetní kapacity služby podle aktuální nebo očekávané zátěže bez ručního zásahu operátora. Systém přidává či odebírá instance, kontejnery, vlákna nebo jiné prostředky podle metrik a pravidel, aby aplikace zvládla špičky, neplatila zbytečnou rezervu a zůstala stabilní.
• Konfigurační managementKonfigurační management je disciplína, která udržuje nastavení serverů, aplikací a jejich verzí v definovaném, zdokumentovaném a opakovatelně obnovitelném stavu. Zahrnuje evidenci konfiguračních položek, řízení změn a nástroje jako Ansible, Puppet nebo Chef, které skutečný stav systému automaticky srovnávají s popisem uloženým ve verzovacím systému.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.