CloudFormation建置生產就緒基礎設施

– 8 分鐘閱讀

CloudFormation 作為 AWS 的基礎設施即程式碼（IaC）服務，允許使用者以程式碼定義和管理 AWS 資源，簡化了基礎設施的自動化和版本控制。理解 CloudFormation 的核心概念，如堆積疊（Stack）、範本（Template）以及漂移偵測，是建構穩固基礎設施的關鍵。透過 YAML 或 JSON 格式的範本檔案，可以定義堆積疊中的資源及其屬性，並利用 CloudFormation 的更新機制來管理資源變更。此外，IAM 許可權的管理對於確保 CloudFormation 的安全性和合規性至關重要，最小許可權原則的應用能有效降低安全風險。

精通AWS CloudFormation：建置強韌且生產就緒的基礎設施

AWS CloudFormation 是 Amazon Web Services (AWS) 提供的一種基礎設施即程式碼 (Infrastructure as Code, IaC) 服務，讓使用者能夠以程式碼的方式定義和管理 AWS 資源。本篇文章將探討 AWS CloudFormation 的內部運作、進階範本開發、大規模佈署的最佳實踐，以及如何擴充套件 CloudFormation 的功能。

瞭解AWS CloudFormation的內部運作

AWS CloudFormation 允許使用者建立和管理一組相關的 AWS 資源，這些資源被稱為一個「堆積疊」(Stack)。使用者可以透過 YAML 或 JSON 格式的範本檔案來定義堆積疊中的資源及其屬性。

建立和更新CloudFormation堆積疊

要建立或更新一個 CloudFormation 堆積疊，使用者需要提供一個範本檔案。CloudFormation 會根據範本檔案中的定義來建立或更新資源。如果範本檔案中定義的資源已經存在，CloudFormation 會根據需要更新這些資源。

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  MyEC2Instance:
    Type: 'AWS::EC2::Instance'
    Properties:
      ImageId: !FindInMap [RegionMap, !Ref 'AWS::Region', 'AMI']
      InstanceType: t2.micro
Mappings:
  RegionMap:
    us-east-1:
      AMI: 'ami-0c94855ba95c71c99'
    us-west-2:
      AMI: 'ami-0d6621c01e8c2de2c'

管理CloudFormation IAM許可權

為了確保安全性和合規性，管理 CloudFormation 的 IAM 許可權是非常重要的。使用者應該根據最小許可權原則，為 CloudFormation 服務和執行堆積疊操作的 IAM 身份（例如使用者或角色）分配適當的許可權。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudformation:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "*"
    }
  ]
}

漂移偵測

漂移偵測是 CloudFormation 提供的一個功能，用於檢測堆積疊中的資源是否與範本檔案中的定義不一致。這有助於使用者及時發現並糾正組態漂移問題。

進階範本開發

使用條件元素

條件元素允許使用者根據特定條件來建立或組態資源。這在需要根據不同環境或引數來調整資源組態時非常有用。

Conditions:
  CreateProdResources: !Equals [!Ref Environment, 'prod']
Resources:
  MyEC2Instance:
    Type: 'AWS::EC2::Instance'
    Condition: CreateProdResources
    Properties:
      ImageId: !FindInMap [RegionMap, !Ref 'AWS::Region', 'AMI']
      InstanceType: t2.micro

刪除策略

刪除策略 (DeletionPolicy) 允許使用者指定在刪除堆積疊時如何處理特定的資源。例如，可以保留某些資源（如資料函式庫例項或S3儲存桶），而不是在堆積疊刪除時一併刪除它們。

Resources:
  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    DeletionPolicy: Retain

大規模佈署的最佳實踐

使用StackSets進行多區域和多帳戶佈署

StackSets 是 CloudFormation 提供的一個功能，用於跨多個 AWS 區域和帳戶佈署和管理堆積疊。這對於需要跨多個區域或帳戶佈署一致基礎設施的大型組織非常有用。

aws cloudformation create-stack-set --stack-set-name my-stack-set --template-body file://my-template.yaml

連續整合和連續佈署（CI/CD）

將 CloudFormation 範本檔案納入 CI/CD 管道，可以實作基礎設施的自動化和版本控制。使用 AWS CodePipeline 和 AWS CodeBuild，可以自動執行範本檔案的驗證、測試和佈署。

Resources:
  CodePipeline:
    Type: 'AWS::CodePipeline::Pipeline'
    Properties:
      RoleArn: !GetAtt CodePipelineServiceRole.Arn
      Stages:
        -
          Name: Source
          Actions:
            -
              Name: CheckoutCode
              ActionTypeId:
                Category: Source
                Owner: ThirdParty
                Provider: GitHub
                Version: '1'
              Configuration:
                Owner: !Ref GitHubOwner
                Repo: !Ref GitHubRepo
                Branch: !Ref GitHubBranch
                OAuthToken: !Ref GitHubToken

擴充套件CloudFormation的功能

自定義資源

自定義資源允許使用者透過 AWS Lambda 函式來建立和管理非 AWS 原生資源。這為使用者提供了極大的靈活性，可以將 CloudFormation 的 IaC 管理擴充套件到 AWS 以外的資源。

Resources:
  MyCustomResource:
    Type: 'Custom::MyCustomResource'
    Properties:
      ServiceToken: !GetAtt MyLambdaFunction.Arn
      Property1: value1
      Property2: value2

使用 AWS CloudFormation 實作基礎設施即程式碼的最佳實踐

AWS CloudFormation 是第一個回應基礎設施即程式碼（Infrastructure as Code, IaC）理念的服務，於 2011 年發布。本篇文章將探討如何使用 CloudFormation 在 AWS 上有效地實施 IaC，並涵蓋其內部工作原理、實際應用中的最佳實踐，以及如何透過範本巨集（Template Macros）和自定義資源（Custom Resources）來擴充套件其功能。

瞭解 CloudFormation 的核心概念

CloudFormation 是 AWS 提供的一種服務，允許使用者透過範本定義和佈署基礎設施資源。這些範本使用 JSON 或 YAML 格式編寫，描述了所需的 AWS 資源及其組態。

範本的核心組成部分

  1. 資源（Resources）：定義了要建立的 AWS 資源，如 EC2 例項、S3 儲存桶等。
  2. 引數（Parameters）：允許使用者在建立堆積疊時輸入自定義值，增加範本的靈活性。
  3. 對映（Mappings）：用於根據不同條件（如區域）選擇不同的值。
  4. 輸出（Outputs）：定義了堆積疊建立後輸出的值，便於其他堆積疊或應用程式使用。

CloudFormation 的工作流程

  1. 建立範本：編寫描述所需基礎設施的 YAML 或 JSON 範本。
  2. 建立堆積疊：使用 CloudFormation 控制檯、CLI 或 SDK 建立堆積疊，並上傳範本。
  3. 佈署資源：CloudFormation 根據範本建立和組態資源。
  4. 更新堆積疊：透過更新範本並應用更改來修改現有堆積疊。
  5. 刪除堆積疊：刪除不再需要的堆積疊，以清理相關資源。

使用 CloudFormation 的最佳實踐

1. 模組化範本設計

將大型範本分解為較小的、可重用的模組。這不僅提高了範本的可維護性，還便於在不同專案中重複使用相同的模組。

Resources:
  MyEC2Instance:
    Type: 'AWS::EC2::Instance'
    Properties:
      ImageId: !FindInMap [RegionMap, !Ref 'AWS::Region', 'AMI']
      InstanceType: t2.micro
Mappings:
  RegionMap:
    us-east-1:
      AMI: 'ami-0c94855ba95c71c99'
    us-west-2:
      AMI: 'ami-0d6621c01e8c2de2c'

內容解密：

此段程式碼定義了一個 EC2 例項資源，並根據當前區域自動選擇合適的 AMI（Amazon Machine Image）。Mappings 部分定義了一個區域到 AMI ID 的對映，!FindInMap 函式用於查詢當前區域對應的 AMI ID。這種做法使得範本能夠在不同區域中靈活佈署。

2. 使用引數和對映增強靈活性

透過使用引數和對映，使範本能夠適應不同的環境和組態需求。

Parameters:
  InstanceType:
    Type: String
    Default: t2.micro
    AllowedValues:
      - t2.micro
      - t2.small
Resources:
  MyEC2Instance:
    Type: 'AWS::EC2::Instance'
    Properties:
      ImageId: !FindInMap [RegionMap, !Ref 'AWS::Region', 'AMI']
      InstanceType: !Ref InstanceType

內容解密：

此範例展示瞭如何使用引數來動態設定 EC2 例項的型別。使用者在建立堆積疊時可以選擇例項型別，增加了範本的靈活性。AllowedValues 限制了可選的例項型別，確保使用者輸入有效的值。

3. 自動化佈署與持續整合/持續佈署（CI/CD）

將 CloudFormation 與 CI/CD 管道整合，實作基礎設施的自動化佈署和管理。

Resources:
  MyCodePipeline:
    Type: 'AWS::CodePipeline::Pipeline'
    Properties:
      Stages:
        - Name: Source
          Actions:
            - Name: CheckoutCode
              ActionTypeId:
                Category: Source
                Owner: ThirdParty
                Provider: GitHub
                Version: '1'
              Configuration:
                Owner: !Ref GitHubOwner
                Repo: !Ref GitHubRepo
                Branch: main
                OAuthToken: !Ref GitHubToken

內容解密：

此範例展示瞭如何使用 AWS CodePipeline 自動化程式碼佈署流程。MyCodePipeline 資源定義了一個包含原始碼簽出階段的Pipeline。透過與 GitHub 整合，當程式碼函式庫中的 main 分支發生變更時，Pipeline將自動觸發，實作持續整合和持續佈署。

擴充套件 CloudFormation 的功能

使用自定義資源

自定義資源允許開發者透過 Lambda 函式建立和管理 CloudFormation 不直接支援的資源。

Resources:
  MyCustomResource:
    Type: 'Custom::MyCustomResource'
    Properties:
      ServiceToken: !GetAtt 'MyLambdaFunction.Arn'
      Property1: Value1

內容解密：

此範例展示瞭如何建立一個自定義資源 MyCustomResource，並透過 ServiceToken 指定處理該資源的 Lambda 函式 ARN。這使得開發者能夠擴充套件 CloudFormation 的功能，以支援特定的自定義需求。

基礎設施即程式碼的發展趨勢

隨著雲原生技術的發展，基礎設施即程式碼（IaC）正變得越來越重要。未來，我們可以期待以下趨勢：

  1. 更強大的 IaC 工具：像 AWS CDK 和 Terraform 這樣的工具將繼續演進，提供更豐富的功能和更好的開發者體驗。
  2. 與 DevOps 和 CI/CD 的深度整合：IaC 將進一步與 DevOps 和 CI/CD 管道整合，實作基礎設施和應用程式的統一管理。
  3. 更高的自動化和智慧化：透過 AI 和機器學習技術，IaC 工具將變得更加智慧，能夠自動最佳化基礎設施組態，提高營運效率。

使用 AWS CloudFormation 的注意事項與進階應用

AWS CloudFormation 是管理雲端基礎設施的重要工具，但在使用過程中仍需注意相關成本與資源管理問題。本文將探討 CloudFormation 的內部運作機制、進階範本開發、以及相關的最佳實踐。

CloudFormation 的成本考量

使用 AWS CloudFormation 本身是免費的，但需注意它所建立的資源可能會產生費用。在練習或開發過程中，應盡量使用最小的資源（例如 t2.micro 例項），並定期檢查 AWS 賬戶以避免不必要的開支。完成練習後，請記得刪除堆積疊（Stack）和其他相關資源。

$ aws cloudformation delete-stack --stack-name your-stack-name

重點提示：

  • 練習時使用最小資源組態
  • 定期檢查 AWS 賬戶狀態
  • 練習完成後刪除所有相關資源

進階範本開發

在開發 CloudFormation 範本時，應考慮範本的通用性、冗餘性和可重用性。以下是一個範例程式碼，展示如何使用 Python 和 boto3 檢查特定的 Key Pair 是否存在：

import boto3

def check_if_key_exists():
    client = boto3.client('ec2')
    try:
        resp = client.describe_key_pairs(KeyNames=['mykey'])
    except Exception:
        return False
    if len(resp['KeyPairs']) == 0:
        return False
    return True

內容解密：

  1. 匯入必要的函式庫：使用 boto3 與 AWS 服務進行互動。
  2. 建立 EC2 客戶端：使用 boto3.client('ec2') 建立與 EC2 服務的連線。
  3. 檢查 Key Pair 是否存在：呼叫 describe_key_pairs 方法檢查特定的 Key Pair 是否存在。
  4. 錯誤處理：捕捉異常並傳回適當的布林值表示檢查結果。

使用 CloudFormation 與 CI/CD 流程整合

將 CloudFormation 與 CI/CD 流程結合，可以實作基礎設施即程式碼（Infrastructure as Code, IaC）的自動化管理。以下是一個使用 AWS CLI 佈署 CloudFormation 堆積疊的範例：

$ aws cloudformation deploy \
    --stack-name tag \
    --template-file tag.yaml \
    --capabilities CAPABILITY_IAM

重點提示：

  • 使用 --capabilities CAPABILITY_IAM 引數授權 CloudFormation 管理 IAM 資源。
  • 確保範本檔案（tag.yaml）正確無誤。

IAM 許可權管理

在使用 CloudFormation 時，正確組態 IAM 許可權至關重要。應根據最小許可權原則（Principle of Least Privilege）為 CloudFormation 堆積疊組態適當的 IAM 角色和許可權。

漂移偵測（Drift Detection）

CloudFormation 的漂移偵測功能可以檢查堆積疊的實際組態是否與範本定義一致。啟用漂移偵測有助於及時發現並修正組態不一致的問題。

重點提示：

  • 定期執行漂移偵測以確保堆積疊組態的一致性。
  • 發現漂移後應及時更新範本或修正實際資源組態。

隨著雲端技術的發展，CloudFormation 將持續演進，提供更多進階功能和更好的整合性。未來可期待在以下幾個方面看到改進：

  1. 更強大的範本驗證功能：提升範本語法檢查和邏輯驗證的能力。
  2. 更豐富的資源支援：擴充套件支援更多的 AWS 資源和第三方服務。
  3. 更智慧的漂移偵測：提供更精確和自動化的漂移偵測與修正建議。

透過不斷學習和實踐，可以更好地掌握 CloudFormation 的進階功能，從而在雲端基礎設施管理中取得更大的成功。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。