Seminar Infrastructure as Code – Tests und Policy as Code

Fehlerhafter Infrastrukturcode muss vor der Anwendung möglichst konkret erkannt werden. Das Seminar entwickelt dazu eine mehrstufige Prüfkette: formale Prüfungen, Regeln für typische Konfigurationsprobleme, Tests der Modulschnittstellen und fachliche Richtlinien für geplante Änderungen. Anforderungen wie begrenzte Netzwerkfreigaben, nachvollziehbare Kennzeichnungen und erlaubte Ressourcentypen werden in automatisierbare Prüfungen übersetzt.

Eine bestandene Prüfung ist nur so belastbar wie die dahinterliegenden Testfälle. Deshalb werden akzeptierte und abgelehnte Konfigurationen gemeinsam gepflegt und absichtlich fehlerhafte Änderungen in die Übungsprojekte eingebracht. Unbekannte Planwerte, Providergrenzen und legitime Ausnahmen werden berücksichtigt. Das Seminar vermittelt technische Kontrollmechanismen; eine automatische Bestätigung beliebiger regulatorischer Anforderungen wird damit nicht verbunden.

Inhaltsübersicht

1. Prüfstrategie und Anforderungen
2. Statische Analyse
3. Tests für Infrastrukturmodule
4. Eigene Regeln mit OPA und Rego
5. Planbewertung und Fehlermeldungen
6. Einbindung und Pflege

Seminarinhalte

Prüfstrategie und Anforderungen

• Syntax, Konfiguration, Modulverhalten, Richtlinien und tatsächlichen Betriebszustand als getrennte Prüfebenen einordnen.
• Anforderungen in überprüfbare Bedingungen mit klaren Fehlertexten übersetzen.
• Schnelle lokale Prüfungen von ressourcenabhängigen Integrationstests unterscheiden.

Statische Analyse

• Formatierung und Validierung mit einer geeigneten statischen Analyse kombinieren.
• Checkov-Regeln auf vorbereitete IaC-Dateien anwenden und Befunde fachlich einordnen.
• Ausnahmen eng begrenzen, begründen und zeitlich beziehungsweise sachlich überprüfbar gestalten.

Tests für Infrastrukturmodule

• Testdateien für die eingesetzte OpenTofu- beziehungsweise Terraform-Version erstellen.
• Eingaben, Ausgaben und erwartete Planmerkmale mit positiven und negativen Fällen prüfen.
• Gemockte Prüfungen von echten Provider-Integrationstests unterscheiden und Testressourcen zuverlässig bereinigen.

Eigene Regeln mit OPA und Rego

• JSON-Pläne als Eingabe für eigene Richtlinien verwenden und deren Struktur nachvollziehen.
• Rego-Regeln in einer festgelegten Syntaxversion entwickeln und mit Unit-Tests absichern.
• Fehlende und noch unbekannte Werte explizit behandeln, statt sie versehentlich als zulässig durchzulassen.

Planbewertung und Fehlermeldungen

• Löschungen, Ersetzungen und sensible Netzwerkänderungen aus einem Plan herausarbeiten.
• Fehlerausgaben mit Ressourcenadresse, Regel und verständlichem Korrekturhinweis versehen.
• Prüfdaten gegen unbeabsichtigte Offenlegung vertraulicher Planwerte absichern.

Einbindung und Pflege

• Prüfungen mit eindeutigen Exit-Codes in einen lokalen oder vorbereiteten CI-Prozess integrieren.
• Regeln und Werkzeugversionen versionieren und Änderungen an der Policy selbst prüfen.
• Ein Regressionstestset für erlaubte, verbotene und unvollständig bekannte Änderungen erstellen.

Praxisübungen

1. Ein Infrastrukturmodul mit gültigen und ungültigen Eingaben prüfen. Mindestens einen Fehler nachweisen, der von einer reinen Syntaxprüfung nicht erkannt wird.
2. Eine OPA-Regel für eine konkrete Netzwerk- oder Kennzeichnungsvorgabe entwickeln. Erlaubte, verbotene und unbekannte Werte testen und die Fehlerausgabe um die betroffene Ressource ergänzen.
3. Statische Analyse, Modultest und Planprüfung in eine gemeinsame Prüfkette einbauen. Eine fachlich begründete Ausnahme hinzufügen und anschließend prüfen, dass andere Verstöße weiterhin blockiert werden.

Technische Übungsumgebung

Arbeitsumgebung mit OpenTofu oder Terraform, Checkov und OPA in festgelegten Versionen; vorbereitete Planbeispiele und eine isolierte Testinfrastruktur.

Weiterführende Seminare

Passende fachliche Ergänzungen sind Secrets Management – Ansible Vault, SOPS und OpenBao. Die jeweiligen Voraussetzungen bleiben maßgeblich.