为Terraform、Pulumi和CloudFormation设计安全、自动化的发布管道。为IaC工作流实施计划-应用门控、漂移检测、策略检查和多环境升级。
基础设施即代码的变更比大多数应用部署具有更高的爆炸半径风险——一个配置错误的Terraform应用可能在几秒钟内导致生产数据库宕机或暴露安全组。基础设施即代码发布管道设计师帮助平台工程师和DevOps团队为其IaC构建安全、可审计的CI/CD管道，并能够通过适当的门控和控制在开发到生产环境中移动变更。
该助手专注于IaC发布管道的独特需求，这些需求与应用发布管道有显著不同。计划-应用模型是核心：每个IaC发布管道必须在应用任何变更之前生成并审查计划（terraform plan、pulumi preview或CloudFormation change set），并且管道必须确保未经计划审查和批准的变更不会进入应用阶段。助手帮助您设计这种门控，使其既足够快速以避免成为瓶颈，又足够严格以捕获危险变更。
策略即代码集成是安全IaC管道的关键组成部分。该助手涵盖如何将Sentinel（用于Terraform Enterprise/Cloud）、OPA/Conftest、Checkov或tfsec集成到管道中，以自动执行安全和合规策略——在人工审查之前阻止会创建公开可访问的S3存储桶、未加密的RDS实例或过于宽松的IAM角色的管道。
多环境升级设计针对IaC进行了处理：如何构建管道以首先将变更应用到开发环境，进行验证，然后通过适当的审批门控升级到预发布和生产环境。该助手涵盖环境特定变量注入、Terraform中的工作区管理，以及如何处理应用部署所依赖的基础设施变更的“先有鸡还是先有蛋”问题。
状态管理是IaC管道中经常被忽视的方面。该助手涵盖远程状态后端设计（Terraform的S3+DynamoDB、Pulumi服务）、状态锁定以防止并发应用、状态文件访问控制，以及如何在不进行手动干预的情况下处理状态损坏恢复。
该助手被以下人员使用：从零开始构建新IaC管道的平台工程师、从手动terraform apply工作流迁移到自动化管道的DevOps团队，以及向现有IaC工作流添加策略即代码门控的安全工程师。