怎样用Chef做环境隔离

在 Chef 里做环境隔离（Environment Isolation），核心目标通常是：
不同环境（dev / test / staging / prod）使用不同的配置、版本、密钥，但共用同一套 Cookbook 代码。

下面从概念到实践系统讲一下。

一、Chef 中的 Environment 是什么

Chef Environment 是一个逻辑分组对象，用来：

• 覆盖节点属性（attribute override）
• 锁定 Cookbook 版本（version pinning）
• 区分部署环境（dev/test/prod）

⚠️ 注意：
Environment 不是网络隔离，也不隔离 Chef Server 本身，它只是配置和版本层面的隔离。

二、基本做法：用 Environment 做隔离

1. 创建 Environment 文件

environments/dev.rb

name "dev"
description "Development environment"

# 属性覆盖
default_attributes(
  "app" => {
    "log_level" => "debug",
    "db_host" => "dev-db.example.com"
  }
)

# Cookbook 版本锁定
cookbook "nginx", "= 2.7.0"
cookbook "myapp", "= 1.0.0"

environments/prod.rb

name "prod"
description "Production environment"

default_attributes(
  "app" => {
    "log_level" => "warn",
    "db_host" => "prod-db.example.com"
  }
)

cookbook "nginx", "= 3.1.0"
cookbook "myapp", "= 2.3.0"

2. 上传 Environment

knife environment from file dev.rb
knife environment from file prod.rb

3. 节点加入指定 Environment

方式一：Bootstrap 时指定

knife bootstrap 10.0.0.10 \
  -N web-dev-01 \
  -E dev \
  -r "role[web]"

方式二：修改已有节点

knife node environment set web-dev-01 dev

三、属性优先级（重要）

Chef 属性优先级（由低到高）：

1. Cookbook attributes/default.rb
2. Environment default_attributes
3. Role default_attributes
4. Node normal
5. Environment override_attributes（最高之一）

✅ 推荐做法：

• 环境差异 → environment override_attributes
• 通用默认值 → Cookbook

四、更彻底的隔离策略（进阶）

1. 多 Chef Organization（组织隔离）

适合：

• 完全不同团队
• 安全要求极高（prod 和 dev 完全分开）

Chef Server
├── org-dev
└── org-prod

优点：

• 用户、节点、Cookbook 完全隔离
• 权限可控

缺点：

• 管理成本高

2. Policyfile + Environment（现代做法）

Chef 官方更推荐 Policyfile：

name "myapp"
run_list "recipe[myapp::default]"

default_source :chef_repo, "../cookbooks"

# 环境隔离体现在 policy group

chef install
chef push dev
chef push prod

✅ 优点：

• 明确版本
• 无“神秘覆盖”
• 更适合 CI/CD

3. Role vs Environment（别混用）

五、常见坑

❌ 在 Cookbook 里写死环境判断

if node.chef_environment == "prod"

✅ 正确方式：用属性 + Environment 覆盖

❌ 只用 node.chef_environment 做逻辑分支
→ 不利于测试和复用

六、推荐实践总结

✅ 小团队

Environment + Role

✅ 中大型 / 自动化强

Policyfile + Environment Group

✅ 强合规 / 多租户

多 Organization

如果你愿意，我可以：

• 给你一个 完整 dev/prod 示例仓库结构
• 或结合 CI/CD（GitLab/Jenkins） 讲怎么自动推环境
• 或讲 Chef Infra vs Chef Automate 的隔离差异

你现在是用的 Chef Infra Server + knife 还是 Chef Workstation + Policyfile？