Terraform-grænseflade: Semaphore UI og Gaia

Gaia adskiller Java-webapplikationen, MongoDB-databasen og eksekveringsrunneren. Runneren starter Terraform i Docker-containere eller Kubernetes-pods med en konfigurerbar grænse for parallelle jobs. Docker Compose samler disse tjenester, mens et eksperimentelt Helm-chart giver mulighed for installation i Kubernetes.

Semaphore UI kører som binærfil eller systempakke samt i Docker eller Kubernetes. Et team, der flytter rutineautomatisering væk fra ingeniørernes bærbare computere, kan begynde på en eksisterende server og bruge samme tjeneste til Terraform-provisionering og Ansible-vedligeholdelse. Den valgte eksekveringstilstand afgør, om jobcontainere er nødvendige.

Gaia kører Terraform-moduler gennem en genereret sekvens af Terraform-kommandoer. Terraform-provisioners kan kalde Ansible eller kommandolinjeprogrammer, når runnerimaget eller det eksterne mål indeholder de nødvendige værktøjer. Det kan konfigurere en nyoprettet ressource, men kommandoen forbliver knyttet til en Terraform-kørsel frem for at blive en selvstændig Gaia-operation. Standardopbygningen af kommandoer giver ikke en separat OpenTofu- eller Terragrunt-skabelon.

Semaphore UI har direkte skabeloner til Ansible, Terraform/OpenTofu, Terragrunt, Bash, PowerShell og Python. Et team kan oprette infrastruktur med OpenTofu, konfigurere pakker med Ansible og køre et parathedstjek i Python. Senere kan Ansible-konfigurationen eller PowerShell-vedligeholdelsen køre selvstændigt uden at starte endnu en Terraform-livscyklus. Den indbyggede Pro-state-backend holder også Terraform/OpenTofu-state og dens historik sammen med disse jobs.

Forfatteren til et Gaia-modul definerer kilderepository, Terraform-version og variabelskema. Brugerne opretter stacks ud fra modulet og angiver værdier og cloud-legitimationsoplysninger til deres miljø. Stacken bliver en vedvarende instans med egen state og egne jobs, hvilket passer til et katalog over infrastruktur, som brugerne anmoder om uafhængigt. Gaia validerer obligatoriske værdier og konfigurerbare regulære udtryk. Semaphore UI-surveys validerer obligatoriske felter, heltal og valg uden en tilsvarende konfigurerbar regexregel.

Semaphore UI kalder den gemte operation en Task Template. Den samler et repository, værktøjskonfiguration, variabler og eventuelt inventar eller legitimationsoplysninger, som operationen kræver. Navngivne variabelgrupper genbruger miljøindstillinger på tværs af skabeloner, mens surveyfelter indsamler startparametre. En skabelon til servicegenstart kan eksempelvis tilbyde valg af tjeneste og miljø i stedet for at bede kollegaen bygge en kommando. En provisioneringsskabelon kan bruge samme mønster til miljøparametre.

Gaia kører plan, apply og destroy mod en stacks konfigurerede modul, input og cloud-legitimationsoplysninger. Den indbyggede backend holder stackens state, mens stacksiden samler output og jobhistorik. Separate testmiljøer kan derfor bevare uafhængig state og kørselsregistrering, selv når de stammer fra samme modul.

Semaphore UI bruger en Task Template til at vælge Terraform/OpenTofu-repository, workspace og konfiguration. Variabelgrupper genbruger indstillinger på tværs af beslægtede jobs, og surveyformularer indsamler input ved start. En ingeniør kan forberede en operation til miljøprovisionering én gang og derefter lade kolleger anmode om den gennem den gemte konfiguration. Hvert miljø har også brug for egne variabler, legitimationsoplysninger og backend-state. Gaia repræsenterer dem som separate stackinstanser. I Semaphore UI forbereder teamet den tilsvarende skabelon, workspace- og backendkonfiguration. Workspaceisolering afhænger af backenden, så valg af et workspace alene adskiller ikke state for alle backends. Terragrunt og OpenTofu er direkte skabelonvalg ved siden af Terraform.

State er en separat del af opsætningen. Gaia inkluderer en state-backend for hver stack uden en kommerciel licens. Semaphore UI bruger den backend, der er konfigureret til Terraform/OpenTofu-koden, og Pro tilbyder desuden en indbygget HTTP-state-backend med historik og administration i grænsefladen. At holde backenden i Semaphore UI placerer den fælles state ved siden af de jobs, der ændrer den, frem for at tilføje endnu en state-tjeneste.

Ingen af produkterne anvender som standard en tidligere gemt planfil. Gaia 2.4.0 viser planlægningsresultatet, men apply-kommandoen bruger ikke den gemte planfil. Semaphore UI’s standardeksekvering planlægger og anvender også separat. Hvis godkendelsen skal dække den præcist foreslåede ændring, kræver proceduren eksplicit lagring og genbrug af planen.

Gaia holder Terraform-ressourcer og output sammen med hver stack. Et Terraform-output kan give den værtsadresse, som en provisioner eller et andet system skal bruge, men opretter ikke en Ansible-inventarressource i Gaias grænseflade. Ansible kaldt gennem en provisioner skal modtage eller generere sit inventar som en del af automatiseringen.

Semaphore UI gemmer Ansible-inventarer som genanvendelige projektressourcer. Teams kan redigere en statisk definition, bruge en fil fra Git eller lade Ansible-inventarplugins finde værter, når et job kører. Samme inventar kan bruges til udrulning, patching og certifikatkontrol. Det er især nyttigt, når provisionering kun er begyndelsen på arbejdet, og operatørerne vender tilbage til en eksisterende serverflåde gennem hele dens levetid.

Gaia adskiller applikationen fra runneren. Runneren henter ventende Terraform-trin og kører dem i Docker-containere eller Kubernetes-pods med konfigurerbar samtidighed. Den kan køre tæt på privat infrastruktur, så længe den kan nå Gaia-API’et og de tjenester, modulet bruger. Det valgte image leverer Terraform og de ekstra programmer, som provisioners kræver.

Semaphore UI kan køre jobs på applikationsserveren eller på runners placeret tæt på målene. Det lader en lille installation begynde uden en containerplatform og en større installation nå separate netværk gennem runners. Pro tilføjer projektrunners og jobkørsel i Docker, mens Enterprise tilføjer Kubernetes-jobpods. Installation af webapplikationen i Docker og kørsel af hvert job i egen container er fortsat separate valg.

Semaphore UI gemmer cron- og engangstidsplaner på forberedte skabeloner. En natlig backup, en tilbagevendende certifikatkontrol eller et patchjob kan genbruge det inventar, de legitimationsoplysninger og startindstillinger, som forfatteren har valgt. Manuelle og planlagte kørsler vises derefter i samme eksekveringshistorik.

Gaia 2.4.0 indeholder ikke en planlægningsgrænseflade. En ekstern planlægger kan oprette et RUN- eller DESTROY-job gennem POST /api/stacks/{id}/{jobType} og derefter starte planen gennem POST /api/jobs/{jobId}/plan. Anvendelse af ændringen er et separat POST til /api/jobs/{jobId}/apply, når planen er færdig. En planlægger skal håndtere denne livscyklus og undersøge det endelige jobresultat i stedet for at betragte oprettelsen af et job-ID som en afsluttet kørsel.

Gaia fører en stack gennem planlægning og anvendelse. Grænsefladen tilbyder en separat bekræftelse efter planen, også ved fjernelse af en stack. Terraform-provisioners kan udføre yderligere handlinger i denne livscyklus, og et eksternt system kan koordinere flere jobs gennem API’et. Gaia tilbyder ikke en visuel graf over selvstændigt genanvendelige Ansible-, Terraform- og scriptoperationer.

Semaphore UI forbinder gemte skabeloner i et visuelt workflow med godkendelser og stier for succes og fejl. En udrulning kan provisionere infrastruktur, vente på godkendelse, konfigurere værter og køre en kontrol, mens hver skabelon forbliver tilgængelig til senere vedligeholdelse. Indsamlede værdier kan overføres mellem trin med den lokale executor på serveren eller en runner. Genererede filer og gemte Terraform-planer kræver stadig tilgængelig lagring eller en eksplicit overførsel. Ingen af produkterne anvender som standard en tidligere gemt Terraform-plan.

Gaia bruger organisationer til at dele moduler med administrator- og brugerroller. En modulforfatter kan gøre en godkendt Terraform-definition tilgængelig for et team, mens brugerne angiver konfigurationen til deres egne stacks. GitHub- og GitLab-integrationerne kombinerer OAuth2-login med import af repositories, og LDAP understøttes også.

Semaphore UI Community organiserer fælles automatisering i projekter. Projektroller styrer, hvem der kan se, køre eller redigere automatisering i projektet. Kolleger med eksekveringsrettigheder kan starte en udrulning, backup eller vedligeholdelsesopgave og gennemgå resultatet. Ingeniøren forbereder operationen, mens kollegaen bruger dens gemte konfiguration og startparametre.

Enterprise tilføjer brugerdefinerede roller og eksekveringsrettigheder på skabelonniveau, når adgangen skal begrænses til udvalgte operationer. Et team kan eksempelvis delegere en skabelon til servicegenstart uden at give operatøren generelle redigeringsrettigheder til projektet. Grænsen kommer fra kombinationen af rollerettigheder og operationskonfiguration, ikke kun surveyformularen. Pro tilføjer LDAP- og OIDC-login til teams med en central identitetsudbyder. Semaphore UI Pro tilføjer også TOTP-tofaktorgodkendelse til lokale konti.

Gaia leverer cloud-legitimationsoplysninger til AWS, Google Cloud og Azure. Den valgfrie Vault-integration bruger Transit-motoren til kryptering og kan anmode om dynamiske AWS-legitimationsoplysninger fra en Vault-secrets-motor. Disse oplysninger understøtter Terraform-stackens livscyklus.

Semaphore UI’s Key Store understøtter legitimationsoplysninger på tværs af teamets procedurer, herunder SSH-nøgler og adgangskoder til Ansible-værter. En forberedt operation henviser til de gemte poster i stedet for at kræve, at operatøren indsætter legitimationsoplysninger ved hver start. Pro tilføjer opslag af hemmeligheder fra HashiCorp Vault og OpenBao, mens Enterprise tilføjer integrationer med AWS Secrets Manager, Azure Key Vault og Devolutions Server samt CyberArk gennem PVWA-API’et.

Et miljø kan eksempelvis bruge cloud-legitimationsoplysninger til provisionering og en SSH-nøgle til den efterfølgende Ansible-konfiguration. De forbliver separate legitimationsoplysninger knyttet til den relevante operation. Begge platforme kan arbejde med Vault, men Gaias kryptering og dynamiske legitimationsoplysninger er noget andet end opslag af en gemt hemmelighed til et job. Gaias indbyggede typer af legitimationsoplysninger omfatter ikke forbindelser til de øvrige secret-lagre nævnt ovenfor. Terraform-kode kan hente hemmeligheder gennem egne datakilder eller eksterne kommandoer, hvor opslaget konfigureres og vedligeholdes i automatiseringen frem for i Gaias grænseflade til legitimationsoplysninger.

Gaia registrerer bruger, status, tidspunkter og plan/apply-trin for et stackjob. Historikken hjælper et team med at undersøge et miljøs provisioneringsændringer og Terraform-output. Det er en registrering af stackoperationer, ikke en grænseflade til Ansible-værtsrapportering eller administrativ audit.

Semaphore UI holder opgavehistorik på tværs af de understøttede værktøjer. Ansible-oversigter i Pro tilføjer værts- og opgaveresultater, så operatøren kan identificere servere, hvor en patch eller certifikatkontrol fejlede. Auditloggen registrerer login og understøttede administrative handlinger separat fra opgaveoutput. Et team, der både provisionerer og vedligeholder værter, kan derfor undersøge operationerne i samme tjeneste uden at betragte Terraform-state som en rapport over alle handlinger på en server. Pro tilføjer auditfiltrering og eksport, herunder levering via Syslog og Splunk HEC til teamets SIEM-pipeline.

Gaia importerer moduler fra GitHub eller GitLab og tilbyder API’er til stacks, jobs og resultater. En CI-pipeline eller ekstern bestillingstjeneste kan oprette et stackjob, starte planlægning og afgøre, hvornår det skal anvendes. En webhookstyret opsætning kræver en adapter, der udfører kaldene og følger udfaldet. Semaphore UI tilbyder et REST-API og indgående integrationswebhooks, der matcher forespørgsler og mapper deres værdier til forberedte opgaveinput.

For et team, der beholder Gaias Terraform-katalog, kan en API-integration starte en Semaphore UI-skabelon til Ansible-konfiguration eller vedligeholdelse, når provisioneringen er færdig. Semaphore UI administrerer derefter operationens inventar, legitimationsoplysninger og eksekveringsregistrering. Det er en forbindelse, teamet implementerer, ikke en indbygget Gaia-til-Semaphore-integration. Begge projekter stiller også dokumentation og kildekode til rådighed, som en kodeassistent kan bruge ved udarbejdelse af forbindelsen eller undersøgelse af konfiguration og joboutput.