31 lines
4.4 KiB
Markdown
31 lines
4.4 KiB
Markdown
 
|
# План внедрения: локальная проверка целостности поставки terraform
|
||
|
|
|
||
|
|
Дата: 2026-09-03
|
||
|
|
|
||
|
|
## Проблема
|
||
|
|
|
||
|
|
Нужно проверить целостность поставки `terraform/` средствами terraform, но `terraform validate`/`plan` с реальным провайдером `vkcs` недостижимы в этом окружении (см. предыдущие изменения): реестр `registry.terraform.io` блокирует регион ("Content not available in your region"), а сконфигурированное зеркало `terraform-mirror.mcs.mail.ru` не содержит провайдер `hashicorp/vkcs` (404 на `index.json`) — в репозитории также исторически отсутствует блок `required_providers`. Пользователь подтвердил: тесты строго локальные, настройку облачных сущностей не выполняем.
|
||
|
|
|
||
|
|
Требуется: установить `terraform` в изолированное локальное окружение (`venv/` в корне проекта), внутри — Python virtualenv с пакетами для тестов, и выполнить содержательную офлайн-проверку поставки.
|
||
|
|
|
||
|
|
## Шаги
|
||
|
|
|
||
|
|
1. `python3 -m venv venv` в корне проекта.
|
||
|
|
2. Скачать бинарь `terraform` (v1.16.1, linux_amd64) с внутреннего зеркала `https://hashicorp-releases.mcs.mail.ru/terraform/`, проверить SHA256SUMS, распаковать в `venv/bin/terraform`. (Это зеркало официальных релизов HashiCorp — провайдер `vkcs` там не публикуется, т.к. это сторонний провайдер VK Cloud, не HashiCorp; проблема с провайдером этим не решается, но сам `terraform` CLI теперь изолированно установлен в venv, как и просил пользователь.)
|
||
|
|
3. `venv/bin/pip install -r terraform/tests/requirements.txt` — `pytest`, `python-hcl2`, `checkov` (checkov оставлен как smoke-проверка; у него нет собственных правил для провайдера `vkcs`, что подтверждено отдельным sanity-тестом на `aws_s3_bucket`).
|
||
|
|
4. Написать `terraform/tests/test_terraform_delivery.py` — pytest-сьют, полностью офлайн:
|
||
|
|
- наличие обязательных файлов поставки;
|
||
|
|
- `terraform fmt -check -recursive` (единственная проверка, буквально использующая сам terraform-бинарь);
|
||
|
|
- валидность HCL всех `.tf`-файлов через `python-hcl2`;
|
||
|
|
- переменные `router_count`/`private_interface_count` объявлены с ожидаемыми дефолтами и не переопределены в `terraform.tfvars` (иначе `TF_VAR_*` не сработает);
|
||
|
|
- `vkcs_compute_instance.router` использует `count = var.router_count`, отсутствуют легаси-ресурсы `router1`/`router2`/`lan_port1`/`lan_port2`;
|
||
|
|
- `locals.private_roles` генерируется из `var.private_interface_count`, `dynamic "network"` использует `local.private_roles`;
|
||
|
|
- нарезка приватных подсетей (`cidrsubnet`) не даёт коллизий — переиспользована через `ipaddress` для нескольких комбинаций `router_count`/`private_interface_count`;
|
||
|
|
- `network-init.sh.tpl` содержит только ожидаемые Terraform-интерполяции (`${pi.cidr}`, `${pi.name}`), директиву `%{ for pi in private_interfaces }`, и рендерится в синтаксически валидный bash (симуляция `templatefile()` + `bash -n`).
|
||
|
|
5. `.gitignore` — добавить `venv/`, `.pytest_cache/`, `__pycache__/`, `.terraform/`, `*.tfstate*` (венв и кэши не должны попасть в git).
|
||
|
|
6. `README.md` — короткий раздел про запуск тестов.
|
||
|
|
7. Summary-документ по завершении.
|
||
|
|
|
||
|
|
## Верификация
|
||
|
|
|
||
|
|
- `venv/bin/pytest terraform/tests -v` — все тесты должны быть зелёными.
|