構成管理・自動化 パラメータシート（Ansible / Terraform）

Ansible / Terraform で構築を自動化するときのパラメータシート。オンプレのインフラ屋に向けて、コードで作ること自体ではなくコードで作った後に何が起きるかを書いています。★核は3枚です。（1）差異と状態 … 緊急対応では必ず手で直されます。それは止められないので、戻す手順と期限を先に決めておかないと、コードと現物が静かにずれます。ずれていても普段は誰も困らず、困るのは作り直すときで、そのときには手遅れです。Terraform の状態ファイルは「コードと現物の対応表」で事実上の本体です。失うと作った資源を管理できなくなります（変えることも消すこともできません）。（2）適用の作法 … 適用の前に何が変わるかを見て、適用の後にもう一度流します。属性によっては変更できず「消してから作り直し」になるため、見ずに流すと本番が止まります。「1回目は通るが2回目で壊れる」は本番で初めて出るので、構築時に必ず2回流します。（3）設定時の注意 … この分野で実際に起きる24の失敗と、その回避手順。★項目名の（A）は Ansible、（T）は Terraform 固有です。★既定値は製品と版で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。

★「コードが正」と決めるだけでは足りません。手で直した箇所を、いつ・誰が・どうやって戻すかまで決めてください。差異の確認（変更なしと出ること）を定期作業カレンダーに入れて、運用の仕組みに乗せてください。★状態ファイル（T）は共有の置き場に置き、排他と世代の保持を最初に決めてください。個人のPCに置いたままにしないでください。壊れてからでは直せません。バックアップ・リストア設計/手順書の対象範囲にも必ず書いてください。★状態ファイルには接続情報が平文で入りえます。中身を見る権限は、資源を操作する権限と同じだけ重いものとして扱ってください。★適用の前に必ず「何が変わるか」を出して読んでください。特に作り直しの判定です。★適用の後に必ずもう一度流し、2回目で何も変わらないことを確認してください。変わるなら冪等ではありません。★「成功」は「流せた」であって「正しい」ではありません。現物を必ず確認してください。★失敗したときは全部が戻るわけではなく、半分だけ適用された状態が残ります。どこまで進んだかを確かめてから次の手を決めてください。★引き継ぎに要るのは リポジトリ・実行環境・秘密情報・状態ファイル の4つです。1つ欠けると、コードはあるのに誰も流せません。秘密情報はコードに直接書かないでください。git の履歴に残り、後から消しても残ります。