В чем преимущество Terragrunt

Преимущества Terragrunt: управление Terraform в масштабе

Terragrunt — это тонкая оболочка над Terraform, созданная компанией Gruntwork. Его основная цель — устранение недостатков Terraform при работе со сложными, многокомпонентными инфраструктурами, распределенными по множеству окружений и аккаунтов. Если Terraform — это "ассемблер" инфраструктуры как кода (IaC), то Terragrunt — это язык более высокого уровня, который делает код сухим (DRY), поддерживаемым и безопасным.

Вот ключевые преимущества, которые делают Terragrunt мощным инструментом в арсенале DevOps-инженера:

1. Принцип DRY (Don't Repeat Yourself)

Самое значительное преимущество. Без Terragrunt конфигурации для dev, staging и prod часто дублируются с незначительными изменениями (например, размером инстанса или количеством реплик).

• Без Terragrunt: Множество почти одинаковых папок с main.tf, variables.tf, terraform.tfvars.
• С Terragrunt: Вы определяете конфигурацию один раз в модуле Terraform, а в корневых папках окружений (live/dev, live/prod) размещаете только маленькие terragrunt.hcl файлы, которые наследуют общие настройки и инжектят уникальные переменные.

Пример структуры:

# live/terragrunt.hcl (общий корневой конфиг)
locals {
  account_vars = read_terragrunt_config(find_in_parent_folders("account.hcl"))
  region_vars  = read_terragrunt_config(find_in_parent_folders("region.hcl"))
}

terraform {
  source = "${get_parent_terragrunt_dir()}/../modules//vpc"
}

inputs = merge(
  local.account_vars.inputs,
  local.region_vars.inputs,
)

# live/prod/us-east-1/vpc/terragrunt.hcl (конкретный компонент)
include "root" {
  path = find_in_parent_folders()
}

inputs = {
  vpc_cidr = "10.1.0.0/16"
  env_name = "production"
}

2. Управление зависимостями между компонентами

Terraform имеет ограниченные возможности для определения зависимостей между независимыми состояниями (state files). Terragrunt решает это через блок dependency.

• Вы можете явно объявить, что RDS-кластер зависит от созданной VPC и Security Group.
• Terragrunt автоматически извлечет выходные данные (outputs) из terraform state зависимого модуля и сделает их доступными как входные данные для текущего.

# live/prod/rds/terragrunt.hcl
dependency "vpc" {
  config_path = "../vpc"
}

inputs = {
  vpc_id         = dependency.vpc.outputs.vpc_id
  subnet_ids     = dependency.vpc.outputs.private_subnet_ids
  db_name        = "prod_db"
}

3. Централизованная конфигурация бэкенда и провайдеров

Вместо того чтобы копировать и вставлять блоки backend "s3" и provider "aws" в каждый Terraform-модуль, вы определяете их один раз в корневом terragrunt.hcl.

• Безопасность: Критические параметры (ключи шифрования, роль IAM) не дублируются.
• Согласованность: Все модули используют одинаковую конфигурацию бэкенда.
• Удобство: Смена региона или бакета S3 происходит в одном месте.

# live/terragrunt.hcl
remote_state {
  backend = "s3"
  generate = {
    path      = "backend.tf"
    if_exists = "overwrite_terragrunt"
  }
  config = {
    bucket         = "my-company-terraform-state"
    key            = "${path_relative_to_include()}/terraform.tfstate"
    region         = "us-east-1"
    encrypt        = true
    dynamodb_table = "terraform-locks"
  }
}

generate "provider" {
  path      = "provider.tf"
  if_exists = "overwrite_terragrunt"
  contents  = <<EOF
provider "aws" {
  region = "us-east-1"
  assume_role {
    role_arn = "arn:aws:iam::${local.account_vars.locals.aws_account_id}:role/DeployRole"
  }
}
EOF
}

4. Автоматизация рабочих процессов через хуки

Terragrunt позволяет выполнять произвольные команды до и после основных команд Terraform (plan, apply, destroy).

• Валидация: Запуск terraform validate или tflint перед apply.
• Безопасность: Сканирование плана на предмет ошибок безопасности с помощью checkov или tfsec.
• Синхронизация: Копирование общих файлов конфигурации перед выполнением.

terraform {
  before_hook "validate" {
    commands = ["apply", "plan"]
    execute  = ["terraform", "validate"]
  }

  after_hook "security_scan" {
    commands = ["plan"]
    execute  = ["checkov", "--directory", "."]
  }
}

5. Параллельное выполнение

Команда run-all позволяет выполнить terragrunt apply или terragrunt destroy для группы независимых модулей параллельно, что значительно ускоряет развертывание всей инфраструктуры.

# Применяет все модули в папке prod параллельно
terragrunt run-all apply --terragrunt-non-interactive

# Планирует изменения только для определенных зависимостей
terragrunt plan-all --terragrunt-exclude-dir ../modules

6. Улучшенное управление переменными

• Функции для работы с файлами: read_terragrunt_config(), yamldecode(), jsondecode() позволяют гибко читать конфигурацию из разных источников (YAML, JSON, HCL).
• Манипуляции: Возможность merge() и deep_merge входных данных из нескольких источников (аккаунт, регион, окружение, компонент).

Итог: Terragrunt не заменяет Terraform, а дополняет его, добавляя недостающий слой управления для production-сред. Он превращает набор разрозненных Terraform-конфигураций в целостную, управляемую систему со строгой иерархией, явными зависимостями и централизованным контролем. Это приводит к снижению ошибок, ускорению развертываний и радикальному упрощению поддержки инфраструктурного кода в долгосрочной перспективе. Его главный недостаток — это дополнительный уровень абстракции, который необходимо изучать команде, но для сложных проектов эти инвестиции окупаются многократно.