Pulumi: IaC на Python вместо Terraform HCL

Pulumi — это платформа Infrastructure as Code, где инфраструктуру описываешь не на каком-то самодельном DSL, а на нормальных языках: Python, TypeScript, Go, C#, Java. Terraform требует учить HCL — декларативный язык, заточенный под одну задачу. Pulumi же даёт полноценный язык программирования: циклы, условия, функции, классы, библиотеки, нормальный автокомплит в IDE. Для разработчиков это меняет всё.

По охвату облаков Pulumi не уступает Terraform. AWS, Azure, GCP, Yandex Cloud, Kubernetes, Docker, VMware, Proxmox — всё поддерживается. Под капотом Pulumi использует те же terraform-провайдеры через bridge-механизм, так что набор доступных ресурсов практически идентичен.

Что реально выделяет Pulumi на фоне конкурентов? Во-первых, привычные языки вместо DSL — пишешь как обычный код. Во-вторых, инфраструктуру можно покрыть unit- и integration-тестами, что в Terraform просто не предусмотрено. Плюс встроенное управление секретами с шифрованием, нативная поддержка Kubernetes и Helm, и policy as code через CrossGuard — когда нужно централизованно ограничивать, что команды вообще могут деплоить.

Ставим Pulumi CLI и поднимаем первый проект на Python. Это занимает минут пять:

# Установка Pulumi CLI
curl -fsSL https://get.pulumi.com | sh
export PATH=$PATH:$HOME/.pulumi/bin

# Проверка
pulumi version
# v3.110.0

# Создание нового проекта
mkdir my-infra && cd my-infra
pulumi new python -y
# Создаст:
# - Pulumi.yaml      — метаданные проекта
# - Pulumi.dev.yaml  — конфигурация стека dev
# - __main__.py      — основной код инфраструктуры
# - requirements.txt — зависимости Python
# - venv/            — виртуальное окружение

# Активация virtualenv и установка зависимостей
source venv/bin/activate
pip install -r requirements.txt

Разберём живой пример — поднимаем VPC, подсети, Security Group и EC2-инстанс:

# __main__.py
import pulumi
import pulumi_aws as aws

config = pulumi.Config()
env = pulumi.get_stack()  # dev / staging / prod

# VPC
vpc = aws.ec2.Vpc("main-vpc",
    cidr_block="10.0.0.0/16",
    enable_dns_hostnames=True,
    tags={"Name": f"{env}-vpc", "Environment": env}
)

# Подсети (используем циклы Python!)
azs = aws.get_availability_zones(state="available")
subnets = []
for i, az in enumerate(azs.names[:3]):
    subnet = aws.ec2.Subnet(f"subnet-{i}",
        vpc_id=vpc.id,
        cidr_block=f"10.0.{i}.0/24",
        availability_zone=az,
        map_public_ip_on_launch=True,
        tags={"Name": f"{env}-subnet-{az}"}
    )
    subnets.append(subnet)

# Security Group с условной логикой
allow_ssh = config.get_bool("allow_ssh") or False

ingress_rules = [
    aws.ec2.SecurityGroupIngressArgs(
        protocol="tcp", from_port=80, to_port=80,
        cidr_blocks=["0.0.0.0/0"], description="HTTP"
    ),
    aws.ec2.SecurityGroupIngressArgs(
        protocol="tcp", from_port=443, to_port=443,
        cidr_blocks=["0.0.0.0/0"], description="HTTPS"
    ),
]

if allow_ssh:
    ingress_rules.append(
        aws.ec2.SecurityGroupIngressArgs(
            protocol="tcp", from_port=22, to_port=22,
            cidr_blocks=[config.require("admin_cidr")],
            description="SSH admin"
        )
    )

sg = aws.ec2.SecurityGroup("web-sg",
    vpc_id=vpc.id,
    ingress=ingress_rules,
    egress=[aws.ec2.SecurityGroupEgressArgs(
        protocol="-1", from_port=0, to_port=0,
        cidr_blocks=["0.0.0.0/0"]
    )]
)

# EC2 инстанс
ami = aws.ec2.get_ami(
    most_recent=True,
    owners=["099720109477"],  # Canonical (Ubuntu)
    filters=[aws.ec2.GetAmiFilterArgs(
        name="name", values=["ubuntu/images/hvm-ssd/ubuntu-*-24.04-amd64-server-*"]
    )]
)

instance = aws.ec2.Instance("web-server",
    ami=ami.id,
    instance_type=config.get("instance_type") or "t3.micro",
    subnet_id=subnets[0].id,
    vpc_security_group_ids=[sg.id],
    tags={"Name": f"{env}-web-server"}
)

# Экспорт значений (аналог output в Terraform)
pulumi.export("vpc_id", vpc.id)
pulumi.export("instance_ip", instance.public_ip)
pulumi.export("instance_id", instance.id)

Стек (stack) в Pulumi — изолированный экземпляр инфраструктуры. Думайте о нём как о workspace в Terraform. На практике это три стека: dev, staging, prod — каждый со своим state и своими переменными.

# Создание стеков
pulumi stack init dev
pulumi stack init staging
pulumi stack init prod

# Переключение между стеками
pulumi stack select prod

# Конфигурация стека
pulumi config set aws:region eu-central-1
pulumi config set instance_type t3.large
pulumi config set allow_ssh true
pulumi config set admin_cidr 10.0.0.0/8

# Секреты (шифруются автоматически!)
pulumi config set --secret db_password 'SuperSecretPass'
pulumi config set --secret api_key 'sk-live-xxx'

# В коде:
config = pulumi.Config()
db_pass = config.require_secret("db_password")  # Output[str]
# Значение зашифровано в Pulumi.prod.yaml
# и расшифровывается только при pulumi up

Одна из вещей, за которую мы полюбили Pulumi — возможность писать нормальные тесты на pytest/unittest. Не какие-то workaround'ы, а настоящие unit-тесты для инфраструктуры:

# tests/test_network.py
import pulumi
import pytest

class MockedMixin:
    """Mock для Pulumi resources в тестах"""
    def __init__(self, name, props=None):
        self.name = name
        self.props = props or {}

# Unit-тест: проверяем теги VPC
@pulumi.runtime.test
def test_vpc_has_environment_tag():
    """VPC должен иметь тег Environment"""
    import __main__
    
    def check_tags(args):
        tags = args[0]
        assert "Environment" in tags, "VPC missing Environment tag"
        assert tags["Environment"] in ["dev", "staging", "prod"]
    
    return pulumi.Output.all(
        __main__.vpc.tags
    ).apply(check_tags)

# Policy test: проверяем что SSH не открыт на 0.0.0.0/0
@pulumi.runtime.test
def test_no_open_ssh():
    """Security Group не должен открывать SSH на весь мир"""
    import __main__
    
    def check_sg(args):
        ingress_rules = args[0]
        for rule in ingress_rules:
            if rule["from_port"] == 22:
                assert "0.0.0.0/0" not in rule.get("cidr_blocks", []), \
                    "SSH open to 0.0.0.0/0 is not allowed!"
    
    return pulumi.Output.all(
        __main__.sg.ingress
    ).apply(check_sg)

# Запуск тестов
# pytest tests/ -v

Как подружить Pulumi с GitLab CI или GitHub Actions — чтобы деплой запускался автоматически при мерже в нужную ветку:

# .github/workflows/deploy.yml
name: Deploy Infrastructure

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

jobs:
  preview:
    if: github.event_name == 'pull_request'
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with: { python-version: '3.12' }
      - run: pip install -r requirements.txt
      - uses: pulumi/actions@v5
        with:
          command: preview
          stack-name: prod
          comment-on-pr: true  # Добавит diff в PR
        env:
          PULUMI_ACCESS_TOKEN: ${{ secrets.PULUMI_ACCESS_TOKEN }}
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

  deploy:
    if: github.ref == 'refs/heads/main'
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with: { python-version: '3.12' }
      - run: pip install -r requirements.txt
      - uses: pulumi/actions@v5
        with:
          command: up
          stack-name: prod
        env:
          PULUMI_ACCESS_TOKEN: ${{ secrets.PULUMI_ACCESS_TOKEN }}
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

Если у вас уже есть Terraform-проект и вы хотите попробовать Pulumi — есть утилита pulumi convert, которая конвертирует HCL в Python или TypeScript автоматически:

# Конвертация Terraform HCL → Pulumi Python
pulumi convert --from terraform --language python --out ./pulumi-project

# Импорт существующих ресурсов (аналог terraform import)
pulumi import aws:ec2/instance:Instance web-server i-0abc123def456
# Pulumi сгенерирует код Python для существующего ресурса

# Импорт Terraform state в Pulumi
pulumi import --from terraform ./terraform.tfstate

# Пример конвертации:
# Terraform HCL:
# resource "aws_instance" "web" {
#   ami           = "ami-0c55b159cbfafe1f0"
#   instance_type = "t3.micro"
#   tags = { Name = "web" }
# }

# Pulumi Python (автогенерация):
import pulumi_aws as aws
web = aws.ec2.Instance("web",
    ami="ami-0c55b159cbfafe1f0",
    instance_type="t3.micro",
    tags={"Name": "web"}
)

Автоконвертация — не серебряная пуля. Покрывает 80–90% кода, остальное придётся доделывать руками: dynamic blocks, provisioners и некоторые сложные конструкции конвертируются плохо или не конвертируются вообще. Мигрируйте модуль за модулем, а не весь проект разом — иначе получите огромный diff, в котором сложно разобраться.