什么是基础设施即代码（IaC）？

基础设施即代码（IaC）是一种IT实践，通过代码形式管理和配置底层IT基础设施。它使开发者和运维团队能够自动管理、监控和配置资源，替代手动配置硬件设备、操作系统（OS）、应用程序和服务。IaC也被称为可编程或软件定义基础设施。

IaC的概念类似于编程脚本，用于自动化IT流程。但脚本主要用于自动化跨多个服务器重复执行的静态步骤，而IaC使用更高级的描述性语言来编码更灵活和自适应的配置和部署流程。

例如，IT管理和配置工具Ansible的IaC功能可以安装MySQL服务器、验证其运行状态、创建用户账户和密码、设置新数据库并删除不需要的数据库。

基于代码的基础设施自动化过程类似于软件设计实践，应用开发团队编写声明性代码、控制代码版本、测试迭代，并在软件批准生产前限制部署。

IaC如何工作？

简单来说，IaC使用软件代码来配置和管理IT基础设施。通过代码定义所需的IT结果，组织可以提高基础设施的一致性、安全性、自动化和性能。

手动配置服务器、存储、网络、操作系统、应用程序和其他设备与服务（如数据库、负载均衡器和防火墙）需要大量时间和精力。人类可能需要数小时甚至数天来为企业工作负载和数据提供合适的部署环境。人为错误可能渗入手动工作的多个方面，导致以下问题：

• 不一致的结果，没有两个环境相同。

• 设置和配置错误导致安全漏洞。

• 基础设施文档差或缺失导致故障排除困难。

• 问题管理和变更控制。

IaC将所有构建和部署所需IT环境的指令体现为软件实体。开发者和IT人员可以创建详细指令来评估所需步骤并测量代码结果。

基础设施代码提供可重复的结果，可以通过按钮点击或响应特定条件执行。它为配置和管理带来高水平的自动化。

变更更易管理，因为对基础设施代码的任何修改都会产生新版本，这些版本有良好文档，并可以通过任何标准版本控制系统管理。如果变更导致问题，可以通过运行先前已知良好的代码版本来纠正。这简化了故障排除，提高了企业的合规性和安全性。

以下四种基本类型的IaC通常结合使用：

• 脚本用于自动化简单的临时任务。
• 配置管理代码定义和自动化设备（如服务器）的安装和配置。
• 配置代码自动化设置整体基础设施，连接环境的各个方面。
• 容器代码依赖模板定义镜像文件，包含部署和执行应用程序所需的库和依赖项。

IaC过程通常涉及以下三个步骤：

1. 开发者使用领域特定语言创建所需基础设施的规范。
2. 规范文件发送或暂存到服务器或存储库（如GitHub）或API。
3. IaC平台使用规范文件自动或按需创建和配置预期基础设施。

IaC使IT团队能够将数据中心的物理资源、服务和离散配置转换为代码，以自动配置和管理这些资源。

IaC方法：声明式与命令式

基础设施即代码工具使用声明式和命令式方法操作。

声明式方法

声明式编程方法概述了基础设施的所需状态，但不明确列出达到该状态的步骤。它声明一个预期目标，并允许底层IaC工具决定如何实现这些目标。常见的声明式编程语言是结构化查询语言（SQL）。Amazon Web Services（AWS）CloudFormation模板等以声明式风格编写。

命令式方法

命令式编程方法定义命令，使基础设施达到所需状态。它定义精确的步骤及其顺序以实现预期结果，并不偏离这些步骤。面向对象语言（如C++和Java）可用于命令式编程。像Chef这样的工具可以根据需要以声明式或命令式方式使用。

在两种方法中，IaC在模板上配置，用户指定基础设施中每个服务器所需的资源。模板用于验证系统是否正确配置或设置。模板可以构建为资源层集，如AWS CloudFormation中的堆栈。

IaC最佳实践

IaC涉及高自动化水平的基础设施配置和管理。虽然没有通用方法部署和使用IaC，但许多最佳实践有助于简化这些部署。标准IaC最佳实践包括：

• 使用版本控制。通过软件配置基础设施意味着IaC遵循许多软件开发最佳实践，如强版本控制。组织应使用IaC文件存储库、全面版本控制以及强文档和记录保持，以跟踪谁访问文件以及版本之间的变化。
• 不共享秘密。IaC涉及的许多配置元素需要密码或加密证书。这些通常未受保护地包含在IaC文件中，可能暴露敏感系统并危及安全。使用单独的 secrets 管理器以受保护方式存储身份和访问管理详细信息。
• 保持文件安全。IaC旨在拥抱与其他DevOps和敏捷软件设计相同的协作态度。但IaC文件可能包含知识产权、秘密或其他敏感内容。保持它们与企业使用的其他源代码一样安全很重要。
• 测试和验证文件。IaC文件不应被理所当然。它们应以与其他软件相同的方式在发布到生产前进行测试和验证。这通常涉及使用持续集成/持续交付（CI/CD）、DevOps和敏捷技术。
• 使用较小文件。几个较小的IaC文件可用于执行特定任务，然后通过脚本或其他IaC模板连接。使用大量较小文件可实现更好的模块化，并促进IaC文件的重用，而不是创建和维护一个单一的大型通用文件来做所有事情。
• 监控和纠正漂移。当正确实施并密切关注不变性时，IaC理想情况下不应允许配置漂移。但由于系统问题、故障排除和人为错误，漂移仍可能发生。必须监控基础设施环境，将环境与IaC定义比较以发现漂移实例，并记录和纠正任何实例。
• 使用代码作为单一真相来源。IaC应作为基础设施配置的参考点。将IaC代码视为单一真相来源应有助于确保环境间的一致性，最小化依赖关系并减少手动可能发生的错误。
• 专注于不可变基础设施。软件定义基础设施。使用IaC时，应采用不可变基础设施方法。一旦代码配置和部署，不应进行基础设施更改。如果需要更改，应删除当前基础设施，并使用新版本的IaC文件部署新基础设施。这防止任何配置漂移的机会。

不可变与可变基础设施

可变基础设施指在生产中更改组件，而整体服务或应用程序正常运行。不可变基础设施组装和设置组件和资源以创建完整服务或应用程序。如果任何组件需要更改，它不会被更改或重新配置；所有内容都在实例中更新并有效重新部署。新迭代被组装、测试、验证和启动，而旧迭代被停用，其资源被释放以供重用。

不可变基础设施尤其受到云和微服务环境的青睐，这些环境高度可扩展并涉及许多相互依赖的组件和服务。任何一次性更新以解决特定问题都可能导致配置漂移，随着更新迅速推送到生产环境而级联。重新发布不可变服务和组件集比修补和重新配置单个基础设施组件更高效。IaC强调使用不可变基础设施技术，尽管不变性不是IaC的先决条件。

IaC的好处和挑战

IaC有许多好处，从自动化效率到与其他现代IT实践对齐的灵活性。其他IaC好处包括：

• 速度和效率。自动配置和管理比手动过程更快、更高效。这扩展到配置资源和虚拟化、数据库、网络、用户账户管理和其他绑定服务。IaC还可以包括通过添加或关闭不再需要的环境和资源来自动扩展的代码。
• 一致性。软件开发者可以使用代码根据业务实践和政策配置和部署服务器和应用程序，而不是依赖DevOps环境中的系统管理员。开发者可能创建配置文件以配置和部署新应用程序进行质量保证或实验性部署，然后运维接管生产中的实时部署。
• 问责制。代码和相应的存储库管理为记录IaC代码提供了坚实基础。很容易看到谁开发了每个版本以及IaC代码版本之间的变化。这加强了业务合规性和代码质量标准。
• 投资回报。实施IaC需要相当投资，但在速度、效率、一致性、合规性、故障排除和自动化方面的回报通常值得投资。IaC将以小时计的手动过程替换为以分钟计的自动过程。它消除了与手动基础设施配置和配置相关的许多问题。
• 与DevOps对齐。编写为代码的基础设施设置可以通过相同的版本控制、自动化测试和CI/CD管道的其他步骤，开发者用于应用程序代码。组织可能将IaC与容器结合，容器在操作系统级别将应用程序从基础设施抽象出来。由于操作系统和硬件基础设施是自动配置的，并且应用程序是封装的，这些技术对于不同的部署目标（如测试、暂存和生产）是互补的。
• 共享资源。IaC改进了跨使用相同资源的其他系统复制基础设施。在这种使用中，IaC提供一致性，并有助于简化故障排除过程。

尽管有好处，IaC也带来一些缺点，包括：

• 需要额外工具。基础设施即代码需要额外的IaC特定或IaC capable工具，如配置管理工具和自动化与编排系统，这可能引入学习曲线和错误。错误可能通过服务器快速传播，尤其是在广泛自动化的情况下，因此监控版本控制和执行全面预发布测试至关重要。
• 功能缺失。IaC工具提供各种强大功能和能力，但有些可能不完整或缺失。评估和审查工具，尤其是针对业务需求，并保持对每个工具提供商产品或功能路线图的仔细监督很重要。
• 现有工具的复杂性。将新工具、流程和标准引入DevOps和运维环境可能增加已有工具和平台的复杂性。需要企业范围的支持，IaC才能为业务提供持久和有意义的 benefits。
• 配置漂移的潜力。如果管理员在设置的IaC模板之外更改服务器配置，没有额外的变更管理工具，配置漂移可能发生。将IaC完全集成到系统管理、IT运维和DevOps实践中，具有良好文档的政策和程序很重要。如果遗留安全和监控工具无法处理IaC，这将需要投资更多工具，并进行额外培训和测试以将它们集成到工作流中。
• 能力差距。IaC将更多责任放在开发者身上，以了解如何编写高效代码，无缝转换为生产环境。他们还必须对用于IaC的语言有深入了解，包括JavaScript对象表示法（JSON）、YAML、Ruby、C++和SQL。知识渊博的员工可能更难找到和保留。

基础设施即代码工具

IaC工具配置和自动化基础设施配置。这些自动化工具可以自动执行基础设施部署，如具有编排功能的服务器。它们还可以配置和监控先前配置的系统。

IaC工具使用推送或拉取方法强制执行模板设置。在推送方法中，集中服务器将所需配置发送到特定系统或系统。拉取方法由基础设施中的系统或系统向集中服务器发起请求。工具通常默认设计用于代码的推送或拉取部署，但可以为特定实例设置为相反。这些工具还应能够回滚代码更改，以防更新导致意外问题。

以下是IaC工具的例子：

• AWS CloudFormation
• Chef
• Google Cloud Deployment Manager
• Microsoft Azure Resource Manager
• Puppet
• Red Hat Ansible Automation Platform
• HashiCorp的Terraform
• VMware Tanzu Salt

一些工具依赖领域特定语言，而其他使用标准模板格式，如JSON和YAML。

组织应考虑目标部署并选择适合该环境的工具。例如，AWS CloudFormation设计用于在AWS上配置和管理基础设施，并与其他AWS产品配合使用。类似地，Microsoft Azure Resource Manager管理Azure平台上的基础设施，而Google Cloud Deployment Manager是Google的基础设施部署服务。或者，Chef与本地服务器和多个云提供商的基础设施即服务产品配合使用。

IT运维可以超越IaC，采用基于代码的方法管理所有资源。了解一切即代码如何工作，并查看它是否适合您的组织。