해결됨: 내부 IaC 툴링에서 템플릿 탐색을 배포와 분리하시나요?

Source: Dev.to

위의 소스 링크에 포함된 글을 번역하려면, 번역하고자 하는 전체 텍스트를 제공해 주세요. 현재 제공된 내용은 소스 링크만 있기 때문에 번역할 본문이 없습니다. 본문을 복사해서 알려 주시면 한국어로 번역해 드리겠습니다.

문제: 결합된 탐색 및 배포

1. 템플릿 난립 및 인지 과부하 – 수백 개의 Terraform 모듈, CloudFormation 템플릿, Helm 차트 등이 카테고리화나 검색 기능이 거의 없는 단일 레포지토리에 존재한다.
2. 오류가 발생하기 쉬운 배포 – 문서화가 부실한 매개변수 때문에 사용자가 추측하거나 값을 수동으로 추출해야 하며, 이로 인해 잘못된 구성, 실행 실패, 보안 취약점이 발생한다.
3. 느린 프로비저닝 및 낮은 셀프‑서비스 채택 – 팀이 중앙 DevOps/플랫폼 그룹에 의존하게 되면서 병목 현상이 발생하고 프로젝트가 지연된다.
4. 표준화 및 가드레일 부족 – 템플릿을 즉석에서 복사·수정하면 조직 정책 및 컴플라이언스 요구사항에서 벗어나게 된다.

분리를 위한 세 가지 주요 솔루션

GitOps가 자주 선택되는 이유

• 단일 진실 소스 – 모든 템플릿과 버전 히스토리가 Git에 존재합니다.
• 강력한 감사 가능성 – 모든 변경 사항이 PR에 기록되고, 검토자, 댓글, 승인과 함께 캡처됩니다.
• 내장된 검토 프로세스 – 잘못된 구성은 코드 검토 중 초기에 발견됩니다.

단점은 초기 설정(리포지토리, CI 파이프라인, 정책 적용)이 더 복잡해지는 것이지만, 장기적인 컴플라이언스와 신뢰성 측면의 이점은 상당합니다.

전용 템플릿 카탈로그 작동 방식

1. Web‑based interface – 선별된 IaC 템플릿 목록을 제공합니다.
2. 각 항목에 포함되는 내용:
   • Name & description – 사람이 읽을 수 있는 형태.
   • Categorisation – 예: Web App, Database, Networking.
   • Input parameters – 설명, 기본값, 검증 규칙.
   • Estimated cost – 비용 관리 도구와 연동된 경우 선택 사항.
   • Links – 상세 문서 또는 소스 코드로 연결.
3. 사용자는 필요한 변수들을 입력 폼에 작성합니다.
4. 포털은 기본 CI/CD 파이프라인을 통해 또는 IaC 도구를 직접 사용하여 배포를 트리거하며, 원시 명령을 추상화합니다.

카탈로그 플랫폼 예시: Spotify의 Backstage, HashiCorp Terraform Cloud/Enterprise Workspaces, 혹은 맞춤형 내부 포털.

샘플 템플릿: AWS S3 정적 웹사이트 (Terraform)

# main.tf for S3 static website module (in your template repo)

resource "aws_s3_bucket" "website_bucket" {
  bucket = var.bucket_name
  acl    = "public-read"

  website {
    index_document = "index.html"
    error_document = "error.html"
  }

  tags = {
    Environment = var.environment
    Project     = var.project
  }
}

resource "aws_s3_bucket_policy" "website_policy" {
  bucket = aws_s3_bucket.website_bucket.id

  policy = jsonencode({
    Version = "2012-10-17",
    Statement = [
      {
        Effect    = "Allow",
        Principal = "*",
        Action    = "s3:GetObject",
        Resource  = "${aws_s3_bucket.website_bucket.arn}/*"
      }
    ]
  })
}

variable "bucket_name" {
  description = "The unique name for the S3 bucket."
  type        = string
}

variable "environment" {
  description = "The deployment environment (e.g., dev, staging, prod)."
  type        = string
}

variable "project" {
  description = "The project name associated with this resource."
  type        = string
}

카탈로그 UI에서는 변수 bucket_name, environment, project가 위의 설명과 함께 폼 필드로 표시되어 사용자를 안내합니다. 폼을 제출하면 사전 구성된 워크스페이스에서 Terraform 실행이 트리거되어 정적 웹사이트가 자동으로 프로비저닝됩니다.

디스커버리와 배포 분리의 이점

• 향상된 검색 가능성 – 중앙 집중식이며 검색 가능한 카탈로그를 통해 적절한 템플릿을 찾는 것이 매우 간단해집니다.
• 개선된 사용자 경험 – 직관적인 양식, 명확한 설명, 사전 검증을 통해 실수를 줄일 수 있습니다.
• 표준화 및 거버넌스 – 검증된 템플릿만 노출되며 조직 정책이 자동으로 적용됩니다.
• 셀프‑서비스 활성화 – 팀이 중앙 플랫폼 그룹을 기다리지 않고 인프라를 프로비저닝할 수 있어 전달 주기가 가속화됩니다.

Bottom Line

IaC‑템플릿 디스커버리를 배포 프로세스와 분리하면—UI‑기반 카탈로그, 강화된 CLI, 혹은 GitOps 워크플로우를 통해—“템플릿 확산”을 방지하고 인지 부하를 줄이며, 더 안전하고 빠른 인프라 프로비저닝 경로를 만들 수 있습니다. 팀의 성숙도, 도구 선호도, 거버넌스 요구 사항에 맞는 접근 방식을 선택하고, 셀프‑서비스 채택과 개발자 생산성이 급상승하는 모습을 확인하십시오.

템플릿 탐색 접근 방식

승인된 템플릿을 사용할 수 있으며, 모범 사례와 규정 준수를 촉진합니다.

장점

• 인지 부하 감소 – 사용자는 IaC 구문이나 CLI 명령을 알 필요가 없습니다.

고려 사항

• 개발 및 유지 관리 오버헤드 – 맞춤 포털을 구축하고 유지하는 데 많은 자원이 필요할 수 있습니다.
• 드리프트 가능성 – 포털의 템플릿 정의가 실제 IaC 코드와 동기화되지 않으면 혼란을 초래할 수 있습니다.
• 제한된 유연성 – 고도로 맞춤화되거나 실험적인 배포를 쉽게 지원하지 못할 수 있습니다.

CLI‑Based Approach

이 접근 방식은 강력한 명령줄 인터페이스(CLI)를 강조하며, 다음과 같은 구체적인 명령을 제공합니다:

1. 템플릿 탐색 – 사용 가능한 템플릿 목록 표시.
2. 세부 파라미터 설명 – 변수, 설명, 기본값 등을 보여줌.
3. 배포 전 검증 – 실제 배포 명령을 실행하기 전에 입력값을 검증.

CLI 도구와 스크립트에 익숙한 팀에 이상적입니다.

How It Works

GUI 대신 사용자는 커스텀 CLI 도구(또는 일련의 명확히 정의된 스크립트)를 통해 상호작용합니다. 일반적인 명령은 다음과 같습니다:

• list-templates – 모든 탐색 가능한 템플릿을 표시합니다.
• describe-template <template> – 풍부한 메타데이터, 변수 및 문서를 보여줍니다.
• validate-template <template> – 템플릿에 대한 정적 검사를 실행합니다.
• deploy-template <template> [params…] – 실제 배포를 수행합니다.

탐색 단계에서는 구조화된 문서나 코드 주석에서 직접 풍부한 메타데이터를 제공하는 데 중점을 둡니다.

IaC 템플릿 디렉터리 구조

iac/
├── modules/
│   ├── s3-website/
│   │   ├── main.tf
│   │   ├── variables.tf
│   │   └── README.md
│   └── rds-instance/
│       ├── main.tf
│       ├── variables.tf
│       └── README.md
├── environments/
│   ├── dev/
│   ├── prod/
│   └── staging/
└── templates/
    ├── s3-static-site.yaml   # CloudFormation template
    ├── ec2-webserver.json    # CloudFormation template
    └── eks-cluster.tf        # Terraform root module for EKS

• 각 모듈의 README.md는 자세한 문서를 제공합니다.
• templates/ 폴더에는 바로 적용할 수 있는 루트 모듈이 포함되어 있습니다.

샘플 iac-helper Bash 스크립트 (단순화)

#!/usr/bin/env bash

# Root directory for IaC assets
IAC_ROOT_DIR="iac"

# ----------------------------------------------------------------------
# List all available IaC templates (modules and root‑module files)
# ----------------------------------------------------------------------
list_templates() {
  echo "Available IaC Templates:"

  # List modules
  find "$IAC_ROOT_DIR/modules" -maxdepth 1 -mindepth 1 -type d -print0 |
    xargs -0 -n 1 basename |
    while read -r template; do
      echo "  - $template"
    done

  # List root‑module files (Terraform, CloudFormation, JSON)
  find "$IAC_ROOT_DIR/templates" -maxdepth 1 -type f \
    \( -name "*.tf" -o -name "*.yaml" -o -name "*.json" \) -print0 |
    xargs -0 -n 1 basename |
    sed -E 's/\.(tf|yaml|json)//' |
    while read -r template; do
      echo "  - $template (Root Module)"
    done
}

# ----------------------------------------------------------------------
# Show detailed information about a specific template
# ----------------------------------------------------------------------
describe_template() {
  local TEMPLATE_NAME=$1

  if [[ -d "$IAC_ROOT_DIR/modules/$TEMPLATE_NAME" ]]; then
    echo "Description for module: $TEMPLATE_NAME"
    cat "$IAC_ROOT_DIR/modules/$TEMPLATE_NAME/README.md" 2>/dev/null ||
      echo "No README.md found."
    echo
    echo "Variables:"
    terraform-docs md "$IAC_ROOT_DIR/modules/$TEMPLATE_NAME" |
      sed -n '/^| Name | Description | Type | Default | Required |/,/^$/p'

  elif [[ -f "$IAC_ROOT_DIR/templates/$TEMPLATE_NAME.tf" ]]; then
    echo "Description for root module: $TEMPLATE_NAME.tf"
    terraform-docs md "$IAC_ROOT_DIR/templates/$TEMPLATE_NAME.tf" |
      sed -n '/^| Name | Description | Type | Default | Required |/,/^$/p'

  elif [[ -f "$IAC_ROOT_DIR/templates/$TEMPLATE_NAME.yaml" ]]; then
    echo "Description for CloudFormation template: $TEMPLATE_NAME.yaml"
    yq e '.Parameters | to_entries[] | .key + ": " + .value.Description' \
      "$IAC_ROOT_DIR/templates/$TEMPLATE_NAME.yaml"

  else
    echo "Template '$TEMPLATE_NAME' not found."
  fi
}

# ----------------------------------------------------------------------
# Deploy a template (placeholder – real implementation would be more complex)
# ----------------------------------------------------------------------
deploy_template() {
  local TEMPLATE_NAME=$1
  # ... logic to run `terraform apply` or `aws cloudformation create-stack`
  echo "Deploying $TEMPLATE_NAME..."
  # Example (simplified):
  # terraform apply -var="bucket_name=$2" -var="environment=$3" \
  #   "$IAC_ROOT_DIR/modules/$TEMPLATE_NAME"
}

# ----------------------------------------------------------------------
# Command‑line interface
# ----------------------------------------------------------------------
case "$1" in
  list)
    list_templates
    ;;
  describe)
    if [[ -z "$2" ]]; then
      echo "Usage: iac-helper describe <template-name>"
      exit 1
    fi
    describe_template "$2"
    ;;
  deploy)
    echo "Deploy command not fully implemented in this example."
    echo "Usage: iac-helper deploy <template-name> [params...]"
    ;;
  *)
    echo "Usage: iac-helper [list|describe|deploy] ..."
    ;;
esac

예시 사용법

iac-helper list
iac-helper describe s3-website
iac-helper deploy s3-website bucket_name=my-unique-site-name environment=dev

CLI 접근 방식의 장점 및 단점

GitOps‑Based Approach

GitOps는 인프라의 원하는 상태(Git에 정의됨)와 그 상태를 구현하는 운영 프로세스를 분리합니다.

Repository Types

GitOps Operator

Argo CD 또는 Flux CD와 같은 도구가 구성 저장소를 감시하고, 변경을 감지하면 제공된 값과 함께 참조된 템플릿을 자동으로 적용합니다.

Workflow

1. Browse 템플릿 저장소에서 필요한 모듈이나 차트를 찾습니다.
2. Create 구성 저장소에 PR을 만들고, 선택한 템플릿을 참조하며 필요한 파라미터를 제공합니다.
3. Review PR—자동 정책 검사와 인간 승인으로 컴플라이언스를 보장합니다.
4. Merge PR; GitOps 운영자가 변경을 감지하고 선언된 상태에 맞게 인프라를 조정합니다.

마무리 생각

UI 기반 카탈로그, 강력한 CLI, 혹은 GitOps 중심 워크플로 중 어느 것을 선택하든 핵심은 발견과 배포를 분리하는 것입니다. 이러한 분리는 인지 부하를 줄이고, 거버넌스를 강화하며, 팀이 인프라를 빠르고 안전하게 프로비저닝할 수 있게 합니다. 조직의 성숙도와 도구 선호도에 맞춰 선택한 접근 방식을 정렬하면 더 빠르고 신뢰할 수 있는 셀프‑서비스를 구현할 수 있습니다.