如何使用Terratest测试基础架构即代码

审校 | 孙淑娟

手动设置基础架构是费时又费力的过程。这时候我们可以利用基础架构即代码（IaC）工具来自动管理基础架构。IaC自动化可用于任何类型的基础架构：虚拟机和存储等。随着越来越多的基础架构变成代码，有必要为IaC进行单元测试和集成测试。

本文简要讨论了什么是IaC以及测试基础架构代码的意义，然后深入探讨了如何使用Terratest进行IaC测试。

一、基础架构即代码（IaC）

基础架构即代码是通过代码配置和设置环境的过程，而不是通过GUI手动创建所需的基础架构和支持系统。比如说，配置虚拟机、设置虚拟机并为其创建监控机制。Terraform、Packer和Ansible就是典型的IaC。借助基础架构即代码，您还可以将基础架构跟踪到Git等版本控制系统中，进行模块化和模板化，以便在多个环境和地区重用相同的代码。灾难恢复是从基础架构即代码获得的重要好处之一。有了IaC，您可以尽快在其他地区或环境复制基础架构。

二、测试基础架构代码

IaC测试可以分为多个阶段：

1.健全性或静态分析

2.单元测试

3.集成测试

• 健全性或静态分析​

这是测试基础架构代码的初始阶段。在静态分析中，我们确保代码有正确的语法。它还有助于确保我们的代码符合行业标准，并遵循最佳实践。Linter属于这一类。几款典型的健全性测试工具包括面向Chef的foodcritic、面向Docker的hadolint和面向Terraform的tflint等。

• 单元测试​

借助单元测试，我们不用实际配置基础架构即可评估代码。比如可以限制容器以便以非root用户身份运行，或者云网络安全组应该只有TCP协议。几个典型的单元测试是面向Terraform的Conftest和面向Chef Cookbooks的Chefspecs。

以非root用户身份执行的Conftest例子：

package main

deny[msg] {

input.kind == "Deployment"

not input.spec.template.spec.securityContext.runAsNonRoot

msg := "Containers must not run as root"

}

• 集成测试​

在集成测试中，我们希望通过将IaC实际部署到所需的环境中对其进行测试。比如说，您部署了一个虚拟机，并在该机器的端口80上托管Nginx服务器。因此，您将在部署之后检查端口80是否在侦听。

以下是使用ServerSpec执行该操作的例子：

describe port(80) do

it { should be_listening }

end

我们在本文中介绍使用Terrratest对基础架构代码进行集成测试。

三、Terratest是什么？我们可以用它来做什么？

Terratest是由Gruntwork开发的Go库，可帮助您为使用Terraform或Packer编写的基础架构即代码创建和自动化测试。它为您提供了各种任务所需的函数和模式，比如：

测试Docker镜像、Helm图和Packer模板。

允许与各种云提供商API兼容，比如AWS和Azure。

Terratest为基础架构代码执行健全性和功能测试。有了Terratest，您可以轻松识别当前基础架构代码中的问题并尽快解决问题。我们还可以利用Terratest对基础架构进行合规测试，比如针对通过IaC创建的任何新S3存储桶启用版本控制和加密。

四、安装Terratest所需的二进制文件

Terratest主要需要Terraform和Go来执行。我们在这篇博文中使用了Terraform版本1.0.0 和Go版本1.17.6进行测试。

• 安装Terraform​

按照Terraform网站的下载部分（https://www.terraform.io/downloads）在您的计算机上安装Terraform，您可以使用软件包管理器或下载二进制文件，并使其在PATH中可用。

安装后，通过运行以下命令验证是否已正确安装：

terraform version

Go & test依赖项安装可以通过以下步骤来完成：

• 安装Go​

您可以使用Linux发行版的软件包管理器来安装Go，或者遵照Go的安装文档（https://go.dev/doc/install）。

• Go测试需要gcc来执行测试​

go test命令可能需要gcc，您可以使用发行版的软件包管理器安装它。比如在CentOS/Amazon Linux 2上，您可以使用yum install -y gcc。

五、Terratest实战

现在，我们将使用Terratest执行一些集成测试。安装步骤完成后，克隆terratest-sample存储库，开始执行Terratest。我们将先使用Go编写测试并执行测试。

重要的事先说：

1.您的测试文件名称应包含_test，比如sample_test.go。这是Go查找测试文件的方式。

2.您的测试函数名称应以Test开头，其中T大写。比如说，TestFunction没有问题，但testFunction会给出错误“没有要运行的测试”。

• 设置AWS身份验证配置​

我们需要AWS凭证在AWS中设置基础架构，可以使用环境变量或共享凭证文件进行配置。

基础架构的Terraform代码可以在组件的相应文件夹中找到。若是ec2，它位于ec2_instance下，若是API网关，它位于api_gateway文件夹下。Terratest将Terraform的output.tf的输出作为测试的输入。下面这个代码段用于测试我们是否在使用的ec2实例上有相同的ssh密钥。

package terratest
import (
  "testing"
"github.com/stretchr/testify/assert"
"github.com/gruntwork-io/terratest/modules/terraform"
)
func TestEc2SshKey(t *testing.T) {
terraformOptions := terraform.WithDefaultRetryableErrors(t, &terraform.Options{
TerraformDir: "../terraform",
})
defer terraform.Destroy(t, terraformOptions)
terraform.InitAndApply(t, terraformOptions)
ec2SshKey := terraform.Output(t, terraformOptions, "instance_ssh_key") assert.Equal(t, "terratest", ec2SshKey)
}

我们将把它分成不同的部分以便理解：第一步，我们定义一个名为Terratest的Go软件包，然后我们导入测试执行所需的不同软件包。

package terratest
import (
"testing"
"github.com/stretchr/testify/assert" "github.com/gruntwork-io/terratest/modules/terraform"
)

一旦我们满足了所有的先决条件，将创建一个函数来执行实际测试：

func TestEc2SshKey(t *testing.T) {
terraformOptions := terraform.WithDefaultRetryableErrors(t, &terraform.Options{
TerraformDir: "../terraform",
})
defer terraform.Destroy(t, terraformOptions)
terraform.InitAndApply(t, terraformOptions)
ec2SshKey := terraform.Output(t, terraformOptions, "instance_ssh_key") assert.Equal(t, "terratest", ec2SshKey)
}

借助以下部分，我们定义了Terratest应该在其中查找Terraform清单文件（即main.tf和output.tf）的目录，以便创建基础架构。

terraformOptions := terraform.WithDefaultRetryableErrors(t, &terraform.Options{
TerraformDir: "../terraform",
})

在Go中，我们使用defer方法来执行清理任务，它应该是terraform destroy。

我们使用下面的代码片段来定义它：

defer terraform.Destroy(t, terraformOptions)

现在我们可以继续实际执行了：

使用terraform.InitAndApply ，我们调用通常用于Terraform执行的Terraform函数terraform init和apply：

terraform.InitAndApply(t, terraformOptions)

如前所述，Terratest查找来自output.tf的输出，寻找变量定义。

在下面的代码片段中，我们从Terraform输出中获取ssh密钥，并与已定义的ssh密钥名称进行匹配：

ec2SshKey := terraform.Output(t, terraformOptions, "instance_ssh_key") assert.Equal(t, "terratest", ec2SshKey)

六、执行测试

将目录切换到已克隆存储库的位置。进入到测试文件所在的位置。

初始化Go模块，并下载依赖项。请查看Terratest文档的“设置项目”部分以获取更多详细信息。

go mod init ec2_instance
go mod tidy

最后执行测试：

$ go test –v

--- PASS: TestEc2SshKey (98.72s)
PASS
ok command-line-arguments 98.735s

七、不妨继续使用Terratest

在上一节中，我们使用Terratest执行了一些基本的测试。现在，我们将通过部署一个以Lambda和ALB作为后端的API网关来执行高级测试。

• 高级功能

API网关的GET请求将由ALB处理，任何方法将由Lambda通过API网关来处理。部署后，我们将对网关部署URL执行HTTP GET请求，并检查它是否返回成功码。

注意：我们在执行中没有使用任何API_KEY进行身份验证，但您应该使用它来再现API Gateway更实际的使用。

Terraform output.tf
output "lb_address" {
value = aws_lb.load-balancer.dns_name
description = "DNS of load balancer"
}
output "api_id" {
description = "REST API id"
value = aws_api_gateway_rest_api.api.id
}
output "deployment_invoke_url" {
description = "Deployment invoke url"
value = "${aws_api_gateway_stage.test.invoke_url}/resource"
}

• 测试执行的代码片段

在第一个场景中，我们已经解释了基本语法，因此将直接进入测试函数。

func TestApiGateway(t *testing.T) {
//awsRegion := "eu-west-2"
terraformOptions := terraform.WithDefaultRetryableErrors(t, &terraform.Options{
TerraformDir: "../",
})
defer terraform.Destroy(t, terraformOptions)
terraform.InitAndApply(t, terraformOptions)
stageUrl := terraform.Output(t, terraformOptions,"deployment_invoke_url") time.Sleep(30 * time.Second)
statusCode := DoGetRequest(t, stageUrl)
assert.Equal(t, 200 , statusCode)
}
func DoGetRequest(t terra_test.TestingT, api string) int{
resp, err := http.Get(api)
if err != nil {
log.Fatalln(err)
}
//We Read the response status on the line below.
return resp.StatusCode
}

在上面的代码片段中，我们定义了函数DoGetRequest来运行HTTP GET测试。然后，我们将此函数的输出用作TestApiGateway函数的输入。

• 测试执行和输出

TestApiGateway 2022-03-01T06:56:18Z logger.go:66: deployment_invoke_url = "https://iuabeqgmj2.execute-api.eu-west-1.amazonaws.com/test/resource" TestApiGateway 2022-03-01T06:56:18Z logger.go:66: lb_address = "my-demo-load-balancer-
376285754.eu-west-1.elb.amazonaws.com"
TestApiGateway 2022-03-01T06:56:18Z retry.go:91: terraform [output -no-color -json deployment_invoke_url]
TestApiGateway 2022-03-01T06:56:18Z logger.go:66: Running command terraform with args [output –
no-color -json deployment_invoke_url]
TestApiGateway 2022-03-01T06:56:19Z logger.go:66: "https://iuabeqgmj2.execute-api.eu-west-
1.amazonaws.com/test/resource"
--- PASS: TestApiGateway (42.34s)
PASS
ok command-line-arguments 42.347s

如您所见，它执行了测试函数TestApiGateway，其中它对API网关的deployment_invoke_url执行了TTP GET测试，并返回了测试状态。

八、使用Terratest进行Terratest模块的 可扩展性和合规测试

我们还可以利用Terratest进行合规测试。一些例子包括：

• 检查是否在您的SQS队列或S3存储桶上启用了加密。
• 验证您是否为API网关设置了特定的限制。

我们为API网关开发了Terratest检查机制。在该例子中，我们验证是否为您的API网关添加了Authorizer。

目前，Terratest在其AWS模块中没有API网关模块。您可以在Terratest AWS模块目录中找到可用的AWS模块。Docker、Packer或Helm等其他Terratest模块可以在Terratest模块目录中找到。

我们使用Terratest和AWS Go SDK方法为Authorizer创建了自己的测试函数。

九、结语

企业及其客户希望产品更快速地交付。基础架构即代码加快了基础架构的配置，恰好满足了这个要求。随着越来越多的基础架构变成代码，用户对测试的需求也在增加。我们在本文中讨论了Terratest之类的工具如何帮助您在将代码部署到生产环境之前对其进行验证。我们介绍了Terratest的工作原理，甚至执行了测试用例来表明它是如何完成的。Terratest的优点之一是具有可扩展性，我们可以通过使用本文中提到的模块实现这种可扩展性。

原文链接：https://www.cncf.io/blog/2022/07/18/testing-your-infrastructure-as-code-using-terratest/