Автор: Мария Сергацкова, студент Финансового университета при Правительстве Российской Федерации
В качестве примера таких систем можно привести Terraform, Ansible, Puppet, Chef и CloudFormation (для облака AWS).
Таким образом, можно описать разные аспекты инфраструктуры и их конфигурации. Вот несколько примеров того, что можно описать с помощью декларативного подхода:
Два важных прямых свойства, производные от декларативного описания, – повторяемость и масштабируемость.
Повторяемость подразумевает возможность легкого и гарантированного воспроизведения инфраструктуры в различных средах и условиях. Это особенно важно в контексте разработки и тестирования ПО, где может требоваться создание нескольких идентичных окружений для различных целей: разработки, тестирования, стейджинга и продакшна.
А масштабируемость в IaC помогает легко увеличивать или уменьшать выделенные под инфраструктуру ресурсы в зависимости от текущих потребностей. Масштабирование может быть горизонтальным, когда увеличивается число экземпляров, и вертикальным, если происходит увеличение ресурсов для каждого экземпляра.
С использованием IaC можно описать правила и параметры для масштабирования прямо в коде. Например, для приложения, трафик которого может очень сильно вырасти, инструментами можно предусмотреть автоматическое добавление новых серверов или увеличение мощности существующих.
Infrastructure as Code может играть важную роль не только для развертывания и поддержания инфраструктур, но и в вопросах информационной безопасности, ведь многие аспекты ИБ также хорошо описываются в виде кода и конфигураций. Рассмотрим несколько ярких примеров.
Благодаря декларативному описанию инфраструктуры в коде можно обеспечивать автоматическое воссоздание системы после сбоя или атаки – в этом помогут уже упомянутые выше повторяемость и масштабируемость. Таким образом, можно оперативно восстанавливать инфраструктуру по заранее определенным шаблонам и минимизировать временные простои для обеспечения непрерывности бизнес-процессов.
Во-вторых, IaC позволяет встроить в код меры обнаружения аномалий и автоматические реакции на подозрительную активность. Конечно, только одним кодом это сделать не получится, но можно предусмотреть использование специализированных инструментов мониторинга и анализа телеметрии системы, выявляющие, например, попытки несанкционированного доступа или аномалии в сетевом трафике. И конечно же, можно предусмотреть механизмы, оповещающие о нештатных ситуациях или даже реагирующие на них.
В-третьих, IaC облегчает регулярный аудит безопасности, позволяя автоматизированно сканировать код инфраструктуры на соответствие комплаенсу. Процесс автоматической проверки и анализа конфигураций позволяет выявлять потенциальные уязвимости или отклонения от безопасных практик, обеспечивая более высокий уровень готовности к быстрому обнаружению и предотвращению инцидентов.
Управление секретами и ключами – процесс из области безопасности процесса разработки. IaC позволяет централизованно управлять такими сущностями через механизм виртуального хранилища секретов, которое обеспечивает безопасное и структурированное хранение конфиденциальной информации, такой как пароли, API-ключи или сертификаты.
Возможно также реализовать автоматизированные процессы для ротации и обновления секретов и ключей. Например, через код можно настроить периодическое обновление сертификатов без необходимости ручного вмешательства. Цель понятна: снижение вероятности компрометации учетных данных из-за их долгосрочного использования.
Идея подхода IaC очень богата за счет того, что подход, используемый для управления данных в программировании, оказывается, может легко управлять и инфраструктурными объектами. IaC не только обеспечивает эффективную автоматизацию создания и управления инфраструктурой, но также выступает как мощный инструмент для повышения информационной безопасности.
IaC не только содействует автоматизации рутинных процессов, но также способствует созданию культуры безопасности, когда изменения в инфраструктуре возникают не стихийно в реактивном режиме, а проактивно планируются на этапе создания всей системы.