GCP と Terraform / gcp-terraform

Transcript

1. GCP と Terraform 2/22 2022 Belong GCP Study - [GCP×SRE] 実運用から理解するプロジェクト構成と SLO
2. 自己紹介 Shigeki Watanabe @shigwata SRE 株式会社Belong CI/CDが好き 2

3. アジェンダ • GCPのリソース階層とは • Belongでの事例 • Terraformでリソース階層を管理 3

4. GCPのリソース階層とは
5. GCPのリソース階層とは 5
 Best practices for enterprise organizations
6. GCPのリソース階層とは 6
 Best practices for enterprise organizations 組織リソース
7. GCPのリソース階層とは 組織リソース リソース階層のノードリソース ドメインにマッピングする組織ノードを作成 7

8. GCPのリソース階層とは 8
 Best practices for enterprise organizations フォルダ
9. GCPのリソース階層とは フォルダ リソースのグループ分け • 部署やチーム • 本番環境と開発環境 組織リソースがないと作成できない 9

10. GCPのリソース階層とは 10
 Best practices for enterprise organizations プロジェクト
11. GCPのリソース階層とは プロジェクト リソース階層の一番下 リソースをグループ化 • Cloud Storage, Cloud SQL, BigQuery, etc. 11

12. Belongではどうしているか
13. Belongのリソース階層 13

14. 初めからこの構成 だったわけではない
15. 初期のリソース階層構成 15

16. 初期のリソース階層構成 サービスごとのグルーピング • シンプルな設定 • プロジェクトをTerraformで 管理 16

17. サービスごとのグルーピングだと 環境横断な設定ができない
18. 環境ごとのグルーピング
19. 現在のリソース階層構成 環境ごとのグルーピング • IAMを継承 ◦ フォルダに設定することで、 下層フォルダに設定が継承される • ログエクスポートがフォルダに適用可 ◦ 監査ログのエクスポートを Prodフォルダに設定することで 設定漏れが防げる • リソース階層をTerraformで管理 19

20. リソース階層をTerraformで管理
21. Terraformとは • HashiCorpが開発した Infrastructure as Code ツール • クラウドサービスを管理することが可能 ◦ GCP ◦ AWS ◦ GitHub • 宣言型の設定 ◦ HCL (HashiCorp configuration language) 21

22. GCPで使う場合 • サービスアカウントを作成して最低限の権限を付与する • GCSにtfstateを保存する • Google プロバイダを利用する 22

23. Terraformで管理したいもの • GCPリソース階層 ◦ 組織 ◦ フォルダ ◦ プロジェクト • モニタリング • 監査ログ 23

24. どうやったか
25. どうやったか 定義を4つに分けて管理 • bootstrap • project • monitoring • audit-log 25

26. bootstrap GCPリソース階層の管理 • 組織のフォルダの定義 • フォルダ単位のIAM設定 • 管理用プロジェクトの作成 • terraform用サービスアカウントの作成 • tfstate保存用GCSバケットの作成 26

27. project プロジェクトの作成 • サービスフォルダの作成 • プロジェクトの作成 • プロジェクトのterraform用 サービスアカウントの作成 • プロジェクトのtfstate保存用 GCSバケットを 管理用プロジェクトに作成 27

28. monitoring 28
 サービス横断の モニタリングを定義
29. audit-log 29
 監査ログ設定を Prodフォルダに設定
30. まとめ 30
 • 企業に合ったGCPリソース階層を定義する • リソース階層の定義をTerraformで管理する
31. リファレンス 31
 • Google Cloud security best practices center ◦ Google Cloud security foundations blueprint guide ◦ https://github.com/terraform-google-modules/terra form-example-foundation • Best practices for enterprise organizations
32. おまけ
33. どこで実行するか
34. CI
35. Terraform定義変更フロー 35
 1. ローカルで開発 2. Bitbucket に Git Push 3. Git Push をトリガーに CI 起動 a. CircleCI で tflint を自動実行 b. CircleCI で terraform plan を自動実行 4. PR作成 5. レビュー 6. マージ Terraform を CircleCI で実行する場合は Terraform orb を利用すると簡単
36. リリース方法 36
 1. master ブランチに Git タグを付与 2. Git タグをトリガーに CI/CD 起動 a. CircleCI で terraform plan を自動実行 b. slack に CircleCI の hold Job を通知 c. 承認すると、CircleCI が terraform apply を自動実行 3. リリース
37. まとめ 37
 • 企業に合ったGCPリソース階層を定義する • リソース階層の定義をTerraformで管理する • TerraformをCIで実行する