Natuurlijk! Hier is een uitgebreide aanpak voor het opzetten van een geavanceerde Terraform-workflow binnen GitLab CI/CD, inclusief validatie, testen, toepassing, beveiliging, foutafhandeling en automatisering: 1. Repository en Structuur - Organiseer je Terraform-configuraties in duidelijke mappen per omgeving (bijv. dev, staging, prod). - Gebruik een versiebeheerstrategie (zoals branches of tags) om veranderingen te beheren. 2. Secrets en Beveiliging - Gebruik GitLab CI/CD Variabelen voor gevoelige gegevens (bijv. provider-credentials, backend-credentials). - Overweeg het gebruik van HashiCorp Vault of GitLab's CI/CD Secrets voor extra beveiliging. - Beperk toegangsrechten op de runner en secrets. 3. CI/CD Pipeline Definitie (.gitlab-ci.yml) Hieronder volgt een voorbeeld van een geavanceerde pipeline: ```yaml stages: - validate - plan - apply variables: TF_VERSION: "1.5.0" # Pas aan naar jouw gewenste versie TF_WORKSPACE: "default" TF_IN_AUTOMATION: "true" before_script: - apk add --no-cache bash git openssh # afhankelijk van runner OS - curl -LO https://releases.hashicorp.com/terraform/${TF_VERSION}/terraform_${TF_VERSION}_linux_amd64.zip - unzip terraform_${TF_VERSION}_linux_amd64.zip - mv terraform /usr/local/bin/ - terraform --version - terraform init -backend-config="path=terraform.tfstate" validate: stage: validate script: - terraform validate only: - merge_requests - branches plan: stage: plan script: - terraform plan -out=tfplan -var-file=vars/${CI_ENVIRONMENT_NAME}.tfvars - terraform show -json tfplan > tfplan.json artifacts: paths: - tfplan expire_in: 1 hour only: - merge_requests - branches apply: stage: apply script: - | if [ "$CI_COMMIT_BRANCH" == "main" ]; then terraform apply -auto-approve tfplan else echo "Niet op main branch, apply overgeslagen." fi environment: name: production url: https://voorbeeld.com when: manual only: - main dependencies: - plan ``` 4. Automatisering en Foutafhandeling - Gebruik `set -e` in scripts om bij eerste fout te stoppen. - Controleer de exit-status van elke stap. - Automatiseer rollback door het opslaan van state en het gebruik van `terraform destroy` bij mislukking (optioneel, afhankelijk van je beleid). - Gebruik `terraform validate` voor snelle validatie. - Gebruik `terraform plan` en `terraform apply` met automatische goedkeuring alleen op vertrouwde branches (zoals main). 5. Beveiliging - Beperk de toegang tot je CI/CD pipelines via GitLab permissions. - Gebruik geëncrypteerde variabelen voor secrets. - Voer pipelines uit op geïsoleerde runners. - Implementeer role-based access control (RBAC) op je cloud provider. 6. Automatisering - Automatiseer het triggeren van pipelines bij code commits, merge requests en schema's. - Gebruik conditionele stappen voor environment-specifieke acties. - Implementeer automatische tests met bijvoorbeeld Terratest of InSpec voor extra validatie. 7. Best Practices - Gebruik remote backend voor state management (bijv. S3, GCS, Azure Blob Storage). - Versioneer je Terraform-modules. - Controleer op drift met `terraform show` en `terraform refresh`. - Documenteer je workflow en beveiligingsmaatregelen. Door deze aanpak te volgen, zorg je voor een veilige, foutbestendige en volledig geautomatiseerde Terraform-implementatie binnen GitLab CI/CD.

Zeker, ik help u graag bij het opzetten van een geavanceerde Terraform-workflow voor GitLab CI. Hier is een uitgebreide handleiding met aandacht voor beveiliging, robuuste foutafhandeling en volledige automatisering. ## 1. Basisstructuur en Best Practices ### Repository-structuur: ``` terraform-project/ ├── environments/ │ ├── dev/ │ ├── staging/ │ └── prod/ ├── modules/ │ └── custom-modules/ ├── .gitlab-ci.yml ├── .terraform-version └── backend.tf ``` ## 2. Geavanceerde GitLab CI-configuratie ```yaml # .gitlab-ci.yml stages: - validate - plan - apply - destroy variables: TF_INPUT: false TF_IN_AUTOMATION: true TF_CLI_ARGS: "-no-color" TF_STATE_BUCKET: "your-terraform-state-bucket" TF_STATE_REGION: "eu-west-1" # Gemeenschappelijke configuratie voor alle jobs .default_terraform: &terraform_config image: name: hashicorp/terraform:latest entrypoint: [""] before_script: - terraform --version - terraform init -backend-config="bucket=${TF_STATE_BUCKET}" -backend-config="region=${TF_STATE_REGION}" -backend-config="key=${CI_PROJECT_NAME}/${CI_COMMIT_REF_NAME}" cache: key: ${CI_COMMIT_REF_SLUG} paths: - .terraform # Validatie stage validate: <<: *terraform_config stage: validate script: - terraform validate - terraform fmt -check -recursive - tflint --module rules: - if: $CI_COMMIT_BRANCH # Plan stage voor development plan:dev: <<: *terraform_config stage: plan environment: name: dev script: - terraform plan -out=tfplan -var-file=environments/dev.tfvars - terraform show -json tfplan > plan.json artifacts: paths: - tfplan - plan.json expire_in: 1 week rules: - if: $CI_COMMIT_BRANCH == "develop" # Plan stage voor productie plan:prod: <<: *terraform_config stage: plan environment: name: production script: - terraform plan -out=tfplan -var-file=environments/prod.tfvars - terraform show -json tfplan > plan.json artifacts: paths: - tfplan - plan.json expire_in: 1 week rules: - if: $CI_COMMIT_BRANCH == "main" when: manual # Apply stage voor development apply:dev: <<: *terraform_config stage: apply environment: name: dev script: - terraform apply -auto-approve tfplan dependencies: - plan:dev rules: - if: $CI_COMMIT_BRANCH == "develop" when: manual # Apply stage voor productie apply:prod: <<: *terraform_config stage: apply environment: name: production script: - terraform apply -auto-approve tfplan dependencies: - plan:prod rules: - if: $CI_COMMIT_BRANCH == "main" when: manual allow_failure: false # Destroy protection (alleen voor development) destroy:dev: <<: *terraform_config stage: destroy environment: name: dev script: - terraform destroy -auto-approve -var-file=environments/dev.tfvars rules: - if: $CI_COMMIT_BRANCH == "develop" when: manual allow_failure: false ``` ## 3. Geavanceerde Beveiligingsmaatregelen ### Terraform Backend Configuratie: ```hcl # backend.tf terraform { backend "s3" { encrypt = true kms_key_id = "alias/terraform-state-key" dynamodb_table = "terraform-state-lock" } } ``` ### Geheimenbeheer: - Gebruik GitLab CI Variables voor gevoelige data - Implementeer HashiCorp Vault of AWS Secrets Manager - Gebruik IAM roles voor temporary credentials ```yaml # Voorbeeld van secure variables in GitLab variables: AWS_ACCESS_KEY_ID: $AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY: $AWS_SECRET_ACCESS_KEY TF_VAR_db_password: $DB_PASSWORD ``` ## 4. Geavanceerde Foutafhandeling ### Custom Error Handling Script: ```bash #!/bin/bash # scripts/error_handler.sh set -euo pipefail handle_error() { echo "Error occurred in script: $0" echo "Exit code: $1" echo "Line number: $2" # Stuur notificatie naar Slack/Teams exit $1 } trap 'handle_error $? $LINENO' ERR ``` ### Health Checks en Rollback Mechanismen: ```yaml after_script: - | if [ "$CI_JOB_STATUS" == "failed" ]; then # Stuur alert en log details curl -X POST -H "Content-Type: application/json" \ -d '{"text":"Terraform job failed: '"$CI_JOB_URL"'"}' \ $SLACK_WEBHOOK_URL fi ``` ## 5. Geautomatiseerde Testen ### Integration Tests met Terratest: ```go // tests/terraform_test.go package test import ( "testing" "github.com/gruntwork-io/terratest/modules/terraform" ) func TestTerraformSetup(t *testing.T) { terraformOptions := &terraform.Options{ TerraformDir: "../environments/dev", } defer terraform.Destroy(t, terraformOptions) terraform.InitAndApply(t, terraformOptions) // Voer validatietests uit } ``` ## 6. Geavanceerde Automatisering ### Merge Request Integration: ```yaml mr_plan: <<: *terraform_config stage: plan script: - terraform plan -var-file=environments/dev.tfvars rules: - if: $CI_PIPELINE_SOURCE == "merge_request_event" ``` ### Scheduled Pipelines voor Compliance Checks: ```yaml compliance_check: <<: *terraform_config stage: validate script: - terraform plan -refresh-only - checkov -d . rules: - if: $CI_PIPELINE_SOURCE == "schedule" ``` ## 7. Monitoring en Logging ### CloudWatch Logging Integration: ```bash # Voeg toe aan after_script after_script: - | aws logs put-log-events \ --log-group-name "terraform-ci-cd" \ --log-stream-name "$CI_JOB_ID" \ --log-events file://terraform.log ``` ## 8. Best Practices Checklist 1. **State Management**: Gebruik remote state met locking 2. **Secret Management**: Nooit secrets in code of version control 3. **Least Privilege**: Minimal IAM permissions voor CI/CD 4. **Immutable Infrastructure**: Geen manual changes na deployment 5. **Backup Strategy**: Regelmatige state backups 6. **Audit Logging**: Log alle Terraform operations 7. **Dependency Scanning**: Scan voor vulnerabilities in providers 8. **Cost Estimation**: Integreer Infracost voor cost tracking Deze workflow biedt een robuuste basis voor enterprise-grade Terraform automatisering met uitgebreide beveiliging en foutafhandeling. Pas de configuratie aan naar uw specifieke requirements en omgeving.