引言
在現代雲端架構中，Infrastructure as Code（IaC）與Policy as Code（PaC）已成為企業實現可擴展、可維護基礎設施的關鍵技術。本文以瑞典與芬蘭最大商業電視頻道TV4與MTV3的實踐為案例，探討如何透過OpenTofu、CDK for Terraform（CDKTF）與Open Policy Agent（OPA）的整合，提升開發者自主管理基礎設施的能力，並降低配置複雜度與學習曲線。
技術與工具定義
Infrastructure as Code（IaC）
IaC 是透過程式碼定義與管理雲端基礎設施的實踐，使資源部署與變更過程可重複、可追蹤。TV4與MTV3採用OpenTofu（Terraform）作為唯一雲端資源管理工具，透過聲明式語法定義AWS資源，並透過版本控制管理配置。
Policy as Code（PaC）
PaC 是將安全與合規策略以程式碼形式實現，透過動態驗證確保基礎設施配置符合預設規則。TV4整合OPA（Open Policy Agent）作為策略執行引擎，實現預防式配置驗證。
CDK for Terraform（CDKTF）
CDKTF 是 HashiCorp 提供的工具，允許開發者以TypeScript撰寫OpenTofu配置，透過編譯生成HCL/JSON，簡化聲明式語法的學習與使用。
核心特性與應用實踐
CDKTF 的物件導向設計優勢
- 模組化與可維護性：透過JavaScript包裝模組，實現物件導向設計，提升複雜配置的可讀性與可維護性。
- 動態配置能力：透過JavaScript函數在編譯時處理邏輯（如遠端後端配置），支援動態參數注入。
- 類型安全與編譯時驗證：利用TypeScript的類型系統解決AWS ECS等服務的強類型問題，開發者可立即發現容器定義字段錯誤。
- 自動化工作區管理：CLI支援堆疊依賴排序與正確執行順序，降低手動管理的複雜度。
OPA 的策略驗證實踐
- 預防式配置驗證：在Terraform/OpenTofu計畫部署前，透過OPA檢測配置錯誤。例如，使用RIGO語言撰寫宣告式規則，檢查ECS Fargate平臺版本是否為最新。
- 開發者體驗提升：初期以警告訊息驅動修正，降低開發者負擔。開發者主動修復安全配置問題，形成正向反饋。
- 單位測試策略：支援單位測試政策，避免重複錯誤在新專案中出現。
實際應用案例
- 自動化後端配置：透過環境變數動態設定遠端後端，簡化多環境部署流程。
- 動態AWS帳戶部署：根據輸入參數建立不同AWS帳戶的資源，提升配置靈活性。
- 全域成本標籤：透過庫版本更新自動套用標籤策略，確保資源成本可追蹤。
技術優勢與挑戰
CDKTF 的優勢
- 降低學習曲線：TypeScript語法簡化HCL語言的學習，提升開發者上手效率。
- 強化類型安全：透過自定義類型包裝解決AWS服務的強類型問題，減少配置錯誤。
- 模組封裝與依賴管理：物件導向設計使模組間依賴關係更直觀，提升可維護性。
技術挑戰與限制
- 未來支持不確定性：CDKTF 自2024年1月無重大更新，CLI預設硬綁定Terraform，需客製化調整以支援OpenTofu。
- 磁碟空間消耗：AWS提供者TypeScript綁定約352MB，多微服務項目會快速累積。
- 抽象層失效風險：當抽象層破壞時，需透過原始HCL覆寫，操作複雜度高。
- 政策套件不足：相比Czechov等工具，現有政策套件較少，需開發者自建或共創。
OPA 的挑戰
- 政策導入與命名空間管理：OPA政策導入與命名空間管理複雜，需建立標準化流程。
- 預提交hook整合：需增加OPA策略數量，並整合預提交hook檢查Terraform配置。
總結
透過CDKTF與OPA的整合，TV4與MTV3成功實現開發者自主管理基礎設施，降低學習曲線與配置複雜度。未來需持續優化工具鏈，解決TypeScript綁定與長期支持問題。建議開發者採用分層抽象設計，並建立社群共創政策套件，以提升工具成熟度與可擴展性。