Terraform en CI/CD : pipelines, revue du plan, OIDC et GitOps

1. Le pipeline type #

Plan à la demande de fusion, apply à la fusion.

Étapes #

name: terraform
on: { pull_request: {}, push: { branches: [main] } }
permissions: { id-token: write, contents: read, pull-requests: write }
jobs:
  terraform:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: hashicorp/setup-terraform@v3
      - uses: aws-actions/configure-aws-credentials@v4
        with: { role-to-assume: "arn:aws:iam::123456789012:role/ci-terraform", aws-region: eu-west-3 }
      - run: terraform init -input=false
      - run: terraform fmt -check && terraform validate && terraform test
      - run: terraform plan -input=false -out=plan.tfplan
      - if: github.ref == 'refs/heads/main'
        run: terraform apply -input=false plan.tfplan

2. Identités fédérées #

Aucun secret dans la CI.

OIDC #

Le fournisseur de CI délivre un jeton OIDC ; le cloud l'échange contre des identifiants temporaires d'un rôle restreint (rôle IAM AWS, identité fédérée Azure, Workload Identity Federation Google).

Bonne Pratique : Séparez les rôles : lecture seule pour le plan sur les demandes de fusion, écriture pour l'apply sur la branche principale.

3. Outils dédiés #

Atlantis, HCP Terraform, dérive.

Panorama #