Infrastructure as Code Pulumi per Automazione Cloud nel Linguaggio Reale

Terraform (HCL) ha un ecosistema di provider più ampio e più moduli community. Pulumi è la scelta migliore quando il vostro team scrive già TypeScript, Python o Go e vuole utilizzare le funzionalità del linguaggio reale — loop, funzioni, classi, unit test — senza imparare HCL. Pulumi fornisce anche l'Automation API per incorporare IaC nel codice applicativo, cosa che Terraform non può eguagliare. Entrambi gli strumenti sono maturi; la scelta riguarda principalmente le competenze linguistiche esistenti del vostro team e la necessità di automazione programmabile.

Pulumi supporta più backend di stato: Pulumi Cloud (gestito, con RBAC, cronologia e applicazione delle policy), S3 con cifratura lato server e locking DynamoDB, Azure Blob Storage e GCS. Separiamo lo stato per ambiente (dev / staging / prod) e per sottosistema principale per limitare il raggio di esplosione. I file di stato sono cifrati a riposo; gli output sensibili sono contrassegnati con Output.secret affinché siano cifrati nello stato e mai registrati.

Pulumi offre due layer di gestione dei segreti. I segreti a livello di stack utilizzano la chiave di cifratura dello stack (Pulumi Cloud o una chiave gestita dal cliente) per cifrare i valori di output individuali nello stato. Pulumi ESC (Environments, Secrets, Config) è il metodo più recente e raccomandato: i segreti vengono archiviati centralmente, con versioning, cifrati lato server e iniettati negli stack e negli ambienti CI al momento dell'esecuzione, eliminando completamente le credenziali in chiaro dai file di stato e dai log CI.

CrossGuard è il framework policy-as-code di Pulumi. Si scrivono policy in TypeScript o Python che verificano le proprietà delle risorse — cifratura abilitata, accesso pubblico bloccato, tag richiesti presenti. Le policy vengono raggruppate in policy pack ed eseguite lato server su Pulumi Cloud (bloccando l'aggiornamento) o localmente in CI. CrossGuard supporta policy advisory (solo avviso) e policy obbligatorie (blocco del deploy). I clienti regolamentati utilizzano pack obbligatori per garantire che nessuna risorsa non conforme raggiunga la produzione.

Sì. Pulumi fornisce due layer di test. Gli unit test simulano l'SDK di Pulumi e verificano le configurazioni delle risorse senza effettuare chiamate alle API cloud — veloci ed eseguibili in CI senza credenziali. I test property-based utilizzano il motore Pulumi reale su uno stack di test e verificano che le risorse distribuite soddisfino degli invarianti. Scriviamo entrambi i layer per ogni componente non banale, fornendo ai team la stessa fiducia nei test per l'infrastruttura come per il codice applicativo.

Pulumi include pulumi convert --from terraform, che traduce i moduli HCL in TypeScript, Python o Go. Per codebase di grandi dimensioni convertiamo in modo incrementale: wrapping dello stato Terraform esistente con la sorgente dati Terraform remote-state di Pulumi, poi migrazione dei sottosistemi uno per uno. Lo stato delle risorse già provisionate viene importato con pulumi import affinché Pulumi ne prenda la proprietà senza ri-provisionare. Eseguiamo sia Terraform che Pulumi in parallelo durante la finestra di transizione per evitare downtime.

Ogni cloud è un provider Pulumi separato installato come dipendenza del pacchetto. Organizziamo gli stack per ambiente e regione cloud, utilizziamo stack reference per condividere gli output tra stack (ad es. uno stack di rete condiviso consumato dagli stack applicativi) e manteniamo una libreria di componenti riutilizzabili per i pattern comuni su ogni cloud. Le versioni dei provider sono bloccate nel codice e aggiornate con cadenza pianificata tramite esecuzioni automatizzate di preview per rilevare le breaking change prima che si propaghino.