Infrastructure as Code (IaC) の使用方法

Infrastructure as Code (IaC) とは、コンピューターが解読可能な定義ファイルを介してクラウドと IT のリソースを管理およびプロビジョニングするプロセスであり、最新の継続的インテグレーションのパイプラインの一部として利用されています。IaC は最新型の DevOps ツールを通じ、コンピューティングリソースをプロビジョニング、管理、破棄する機能を提供します。IaC を使用すると、目的のリソースを宣言型の静的なコードとして定義し、リソースのデプロイと動的な管理を、コードを介して実行できるようになります。

私は最近、開発者の皆さんとやり取りする中で、ある事実に気付きました。多くの開発者が IaC の有用性を認識していない、または認識してはいるものの、準備が煩雑であるという理由で、初めから導入をあきらめてしまっているようなのです。この記事では皆さんの IaC の導入が少しでも楽になるよう、IaC の利点を説明すると共に、現在利用可能な IaC ツールについて、具体的なツールの使用例を交えながら簡単に紹介したいと思います。今回取り上げるのは、業界内でも特に人気が高い、HashiCorp の Terraform と Pulumi という 2 つの IaC ツールです。

前提条件

事前に以下の手順を完了しておく必要があります。

Google Cloud アカウントを作成する
Google Cloud プロジェクトを作成する
Pulumi API トークンを作成して保存する
Google Cloud SDK CLI をローカルにインストールする
Docker クライアントをローカルにインストールする

Google Cloud プロジェクト認証情報の作成

IaC ツールを使用して管理操作を行うには、Google Cloud の認証情報を作成する必要があります。

サービスアカウントキーの作成ページを開きます。
既定のサービスアカウントを選択するか、新たにアカウントを作成したら、キータイプとして JSON を選択し、[作成] をクリックします。
この JSON ファイルを ~/.config/gcloud/ ディレクトリに保存し、ファイル名を cicd_demo_gcp_creds.json に変更します。このファイルは、後の行程で Google Cloud CLI をコンテナ内で有効化するときに非常に重要になります。

Pulumi API トークンの作成

プロジェクトのステートを Pulumi のバックエンドクラウドに格納するために、Pulumi API トークンの取得が必要です。

app.pulumi.com/ にアクセスします。
ページ左上の [Select an Organization (組織を選択する)] をクリックし、使用するアカウントを選択します。
[Settings (設定)] をクリックします。
ページ左側の [Access Tokens (アクセストークン)] をクリックします。
ページ右側の [New Access Token (新規アクセストークン)] をクリックします。
[Create (作成)] をクリックし、作成した API トークンを保存します。このトークンは、後で Pulumi プロジェクトの初期化に使用します。

IaC101 Docker イメージの取得

これですべての前提条件が満たされたので、次はこのワークショップで使用する Docker イメージを取得しましょう。ターミナルに次のコマンドを入力します。

docker pull ariv3ra/iac101

これで、ariv3ra/iac101 Docker イメージがローカルに取得できたはずです。docker images を実行して、結果の一覧にこのイメージが含まれていれば、正常に取得できています。

IaC101 Docker コンテナの起動

上記の ariv3ra/iac101 イメージを基に、新たに Docker コンテナを作成します。ここには、あらかじめ定義された IaC ツールおよびコードがすべて含まれています。

/.config/gcloud/ ディレクトリのマウント

新たなコンテナを実行するには、~/.config/gcloud/ への絶対パスが必要になります。たとえば、私の MacOS マシンの場合なら、絶対パスは /Users/angel/.config/gcloud/ です。ご自身のローカルマシン上で、gcloud ディレクトリの絶対パスを忘れずに確認しておいてください。

マウントによる IaC101 コンテナの起動

ターミナルで次のコマンドを実行します。<your absolute path here> の部分は、ローカルマシン上の実際の glocud/ ディレクトリの絶対パスと置き換えてください。

docker run -it --name iactest --mount type=bind,source=<your absolute path here>.config/gcloud/,target=/root/.config/gcloud/ ariv3ra/iac101

IaC101 コンテナの起動後

前述の docker run コマンドを実行すると、IaC101 コンテナが作成および起動され、ターミナルシェルは実行中のコンテナにログインした状態になります。これ以降、exit コマンドによって手動でコンテナを停止するまで、ターミナルシェルで実行するコマンドはすべて、この Docker コンテナ内で実行されます。このコンテナには Terraform と Pulumi の CLI ツールがどちらもインストールされており、それぞれのツールを使用してインフラストラクチャを構築するためのサンプルコードも付属しています。このコンテナのプロジェクトファイルは次のとおりマッピングされます。

projects/
|_ terraform/gcp/compute/   # Contains the Terraform code files
|_ pulumi/gcp/compute/      # Contains the Pulumi code files

HashiCorp Terraform

HashiCorp Terraform は、インフラストラクチャの作成、変更、バージョン管理を安全かつ効果的に行うためのオープンソースツールです。Terraform を使用すると、既存のサービスプロバイダーに加え、カスタムの自社ソリューションも管理できます。

Terraform では、単一のアプリケーションまたはデータセンター全体を運用するために必要なコンポーネントを設定ファイルに定義します。また、目的のステートに達するために実行する内容が記載された実行プランを生成し、これを実行して、記述どおりのインフラストラクチャを構築します。設定が変更されると、Terraform は変更内容を特定し、適用すべき増分の実行プランを生成します。

Terraform で管理できるインフラストラクチャには、コンピューティングインスタンス、ストレージ、ネットワーキングのような低レベルのコンポーネントだけでなく、DNS エントリや SaaS 機能のような高レベルのコンポーネントも含まれます。

Terraform によるインフラストラクチャのプロビジョニング

Terraform コードを使用して、GCP にリソースをプロビジョニングしてみましょう。terraform/gcp/compute/ 内にある main.tf は、この例で使用するインフラストラクチャについて定義したコードです。これからこのファイルを使用して、Docker コンテナにパッケージ化された、Python Flask アプリケーションをインストールして実行するための新しいコンピューティングインスタンスを作成します。この Terraform コードではさらに、ポート 5000 を介したアプリケーションへのパブリックアクセスを許可するファイアウォールルールも作成されます。

前述の内容でプロビジョニングを行うために、ターミナルで以下のコマンドを実行します。

cd ~/project/terraform/gcp/compute/

Terraform の初期化

前述のコマンドで ~/project/terraform/gcp/compute/ ディレクトリに移動してから、以下のコマンドを実行します。

terrform init

以下のような結果が返されるはずです。

root@d9ce721293e2:~/project/terraform/gcp/compute# terraform init

Initializing the backend...

Initializing provider plugins...
- Checking for available provider plugins...
- Downloading plugin for provider "google" (hashicorp/google) 3.10.0...

* provider.google: version = "~> 3.10"

Terraform has been successfully initialized!

Terraform でのプレビュー

Terraform には、Terraform コードをドライ実行して、実際には何も実行することなくバリデーションできる terraform plan というコマンドがあります。このコマンドでは、Terraform が既存のインフラストラクチャに対して実行するすべてのアクションと変更をグラフ化することも可能です。ターミナルで以下を実行します。

terraform plan

以下のような結果が返されるはずです。

An execution plan has been generated and is shown below.
Resource actions are indicated with the following symbols:
  + create

Terraform will perform the following actions:

  # google_compute_firewall.http-5000 will be created
  + resource "google_compute_firewall" "http-5000" {
      + creation_timestamp = (known after apply)
      + destination_ranges = (known after apply)
  }

    # google_compute_instance.default will be created
  + resource "google_compute_instance" "default" {
      + can_ip_forward       = false
      + cpu_platform         = (known after apply)
      + deletion_protection  = false
      + guest_accelerator    = (known after apply)
      + id                   = (known after apply)
      + instance_id          = (known after apply)
      + label_fingerprint    = (known after apply)
      + labels               = {
          + "container-vm" = "cos-stable-69-10895-62-0"
        }
      + machine_type         = "g1-small"
  }
  Plan: 2 to add, 0 to change, 0 to destroy.

このように、Terraform は main.tf ファイル内のコードに基づいて GCP リソースを新規作成します。

Terraform の適用

インフラストラクチャを新規作成してアプリケーションをデプロイする準備が整ったので、ターミナルで以下のコマンドを実行します。

terraform apply

コマンドを確認するメッセージが表示されたら、yes と入力して Enter キーを押します。

Do you want to perform these actions?
  Terraform will perform the actions described above.
  Only 'yes' will be accepted to approve.

  Enter a value: yes

Terraform によって GCP 上でインフラストラクチャが作成され、その後少ししてから、アプリケーションがセットアップされて起動されます。なお、Terraform による処理の完了後、アプリケーションがオンラインになるまでには 3 ～ 5 分かかります。バックエンドシステムがプロビジョニングを行ってからクラスタをオンラインにするため、瞬時には処理されません。

完了すると、以下のような内容が出力されます。

Outputs:

Public_IP_Address = 34.74.75.17

この Public_IP_Address の値は、アプリケーションを実行中の IP アドレスを表します。そのため、ブラウザーを開き、この値とポートアドレスの :5000 を入力 (34.74.75.17:5000 のように入力) すると、GCP で実行中のアプリケーションが表示されます。

Terraform のリソースの破棄

作成した Google のコンピューティングインスタンスとアプリケーションが正常に稼働していることを確認できたところで、今度は terraform destroy コマンドを実行して、このチュートリアルで作成したアセットを破棄してみましょう。アセットはそのまま稼働させても構いません。しかし、Google Cloud Platform 上でアセットを実行するにはコストが発生し、そのコストに対する責任も負わなくてはなりません。Google から無料トライアルの登録ユーザーに提供されている 300 ドル分のクレジットは、アセットを実行し続ければあっという間に尽きてしまいます。もちろん、ご事情に合わせて判断していただければと思いますが、terraform destroy を実行すれば実行中のすべてのアセットを破棄できます。

次は、Pulumi を使用したインフラストラクチャのプロビジョニング方法を見ていきましょう。

Pulumi SDK

Pulumi SDK はクラウドアプリケーションと IaC の定義およびデプロイに対応したオープンソースフレームワークです。TypeScript や JavaScript、Python、Go など、開発者が自分で選んだ言語でコードを記述できるという特長があります。YAML や DSL といった固有の言語を新たに習得しなくても、クラウドベースのアプリケーションやインフラストラクチャを運用できるという点で、Pulumi のアプローチはきわめて画期的です。Pulumi を使用すれば、抽象化やコードの再利用のほか、使い慣れた IDE、リファクタリングツールやテストツールを利用することができます。1 つのツールチェーンおよび一連のフレームワークを熟知していれば、任意のクラウド (AWS、Azure、GCP、または Kubernetes) に簡単に移行できるのです。

Pulumi によるインフラストラクチャのプロビジョニング

記事の前半では、Terraform を使用してインフラストラクチャを構築したので、今度は Pulumi を使用して、新たなインフラストラクチャをプロビジョニングおよびデプロイする方法を学習しましょう。Pulumi のコードとツールを使用して、先ほどと同じ GCP リソースを作成する例をお見せします。Pulumi では、柔軟性の高い汎用的なプログラミング言語でインフラストラクチャを定義できます。今回の例では Python を使用します。インフラストラクチャの定義は、~/project/pulumi/gcp/compute/ ディレクトリ内の __main.py__ ファイルで行います。

なお、Pulumi API トークンを忘れずに準備しておいてください。以降のセクションで必要になります。

Pulumi のサンプルは ~/project/pulumi/gcp/compute/ ディレクトリ内にあります。次のコマンドを実行し、Pulumi のサンプルディレクトリに移動します。

cd ~/project/pulumi/gcp/compute/

Pulumi の依存関係のインストール

この例では IaC の仕様を Python で定義するため、最初に Pulumi Python SDK の依存関係をインストールする必要があります。ターミナルで以下のコマンドを実行します。

pip install -r ../requirements.txt

Pulumi によるプレビュー

Pulumi には、pulumi preview というドライ実行のコマンドが用意されています。このコマンドを使用すると、既存のステートファイルに記載されているステートに基づいて、既存スタックに対する更新内容をプレビューすることが可能です。目的としている最新のステートは、Pulumi プログラムを実行し、オブジェクトグラフの作成結果から全リソースの割り当て情報を抽出することで算定されます。こうした割り当ての情報を既存のステートと比較することにより、目的のステートを実現するためにどのような処理を実行する必要があるかが判断されます。スタックへの実際の変更処理は一切行われません。

ターミナルで以下のコマンドを実行します。

pulumi preview

上記のコマンドを実行すると、以下の結果が表示され、事前に作成しておいた Pulumi API トークンの入力を求められるので、トークンをターミナルにペーストして Enter キーを押します。

Manage your Pulumi stacks by logging in.
Run `pulumi login --help` for alternative login options.
Enter your access token from https://app.pulumi.com/account/tokens
    or hit <ENTER> to log in using your browser                   :

注: API トークンをターミナルにペーストしても、実際の値は表示されません。セキュリティの観点から、非表示に設定されています。

場合によっては、ターミナル内でスタックの選択を求められることがあります。その場合は dev オプションを選択し、Enter キーを押します。以下のような結果が返されるはずです。

Previewing update (dev):
     Type                     Name                        Plan
 +   pulumi:pulumi:Stack      compute-dev                 create
 +   ├─ gcp:compute:Network   network                     create
 +   ├─ gcp:compute:Address   workshops-infra-as-code101  create
 +   ├─ gcp:compute:Instance  workshops-infra-as-code101  create
 +   └─ gcp:compute:Firewall  firewall                    create

Resources:
    + 5 to create

これで、インフラストラクチャのステートが追跡管理されている、Pulumi のバックエンドクラウドにアクセスできるようになりました。続いて、コードを実行してみましょう。

Pulumi コードの実行

Pulumi コードを実行するには、pulumi up コマンドを使用します。これは、スタック内のリソースを作成または更新するコマンドです。ターゲットスタックで目的とされている最新のステートは、現在の Pulumi プログラムを実行し、リソースグラフの作成に使用される全リソースの割り当て情報を確認することで算定されます。さらに、この目的のステートを既存のステートと比較することにより、運用停止を最小限に抑えつつ目的のステートを実現するためにはどのような作成、読み取り、更新、削除の処理を実行する必要があるかが判断されます。その後、このコマンドによって、スタックの新しいステートに関するすべてのトランザクションのスナップショットが記録されるため、以降も引き続き増分のみの変更でスタックの更新を行えます。

ターミナルで以下を実行します。

pulumi up

yes オプションを選択し、Enter キーを押します。Pulumi アプリケーションが実行され、少し経つと GCP 上にアプリケーションを実行するサーバーが完成します。以下のような結果が返されるはずです。

Updating (dev):
     Type                     Name                        Status
 +   pulumi:pulumi:Stack      compute-dev                 created
 +   ├─ gcp:compute:Network   network                     created
 +   ├─ gcp:compute:Address   workshops-infra-as-code101  created
 +   ├─ gcp:compute:Firewall  firewall                    created
 +   └─ gcp:compute:Instance  workshops-infra-as-code101  created

Outputs:
    external_ip       : "34.74.75.17"
    instance_meta_data: {
        gce-container-declaration: "spec:\n  containers:\n    - name: workshops-infra-as-code101\n      image: ariv3ra/workshops-infra-as-code101:latest\n      stdin: false\n      tty: false\n  restartPolicy: Always\n"
    }
    instance_name     : "workshops-infra-as-code101"
    instance_network  : [
        [0]: {
            accessConfigs    : [
                [0]: {
                    natIp              : "34.74.75.17"
                    network_tier       : "PREMIUM"
                }
            ]
            name             : "nic0"
        }
    ]

Resources:
    + 5 created

Duration: 58s

表示された結果の中に、external_ip キーが含まれていることにお気付きかと思います。この値はポート 5000 経由でアクセスできる、アプリケーションのパブリック向けの IP アドレスです。前半の Terraform の例とまったく同様に、ブラウザーを使用してこのアプリケーションにアクセスできます。バックエンドシステムの処理が完了し、スタック全体がオンラインになるまでに、数分かかるのでご注意ください。

Pulumi のリソースの破棄

Pulumi には、すべてのクラウドリソースの運用を終了できる pulumi destroy というコマンドがあります。このコマンドでは、名前を指定することで、既存のスタックを削除できます。現在のスタックのステートは、ワークスペース内の関連付けられたステートファイルから読み込まれています。終了コマンドを実行すると、こうしたスタックのリソースの割り当ておよび関連付けられているステートがすべて解除されます。

ターミナルで pulumi destroy を実行し、オプションの入力を求められたら yes を選択します。これで、作成した GCP リソースが永久に破棄されます。

まとめ

お疲れさまでした。Terraform と Pulumi という最新の IaC ツールを使用し、GCP でのアプリケーションのプロビジョニングとデプロイを経験したことで、皆さんは開発者としてさらにレベルアップしました。さらに詳しく知りたい方は以下の資料を参照してください。