如何用Chef做环境隔离

在 Chef 里做环境隔离（Environment Isolation），核心思路是：用 Chef Environment 区分不同阶段（dev / test / prod 等），再结合 Role、Attribute、Policy/Policyfile、Data Bag（加密） 来控制差异。下面按“从传统到现代”的方式讲。

一、用 Chef Environment 做最基础隔离

1. 定义 Environment

environments/production.rb

name "production"
description "Prod env"

default_attributes(
  "app" => {
    "log_level" => "warn"
  }
)

override_attributes(
  "app" => {
    "feature_flag" => false
  }
)

environments/development.rb

name "development"
description "Dev env"

default_attributes(
  "app" => {
    "log_level" => "debug"
  }
)

2. 节点加入指定 Environment

knife node environment_set node1.example.com production

或在 bootstrap 时：

knife bootstrap ip -N node1 -E production

✅ 效果：
不同环境用不同 attribute，不改动 cookbook 代码。

二、Environment + Role 配合隔离

典型结构：

Environment
  └── 控制“环境级配置”
Role
  └── 控制“节点类型配置”

示例：

• web_server Role
• production Environment 覆盖数据库连接串

override_attributes(
  "db" => {
    "host" => "db.prod.internal"
  }
)

三、用 Policyfile 做“强隔离”（推荐）

如果你用 Chef Workstation + Chef Infra Server（现代做法）：

1. Policyfile 按环境拆分

policyfiles/web-prod.rb

name "web"
environment "production"
run_list "role[web_server]"
cookbook "nginx", "= 2.0.0"

policyfiles/web-dev.rb

name "web"
environment "development"
run_list "role[web_server]"
cookbook "nginx", "= 2.1.0"

2. 推送并锁定

chef install web-prod.rb
chef push prod web-prod.lock.json

✅ 优点：

• 环境之间 cookbook 版本完全隔离
• 不会“dev 升级影响 prod”

四、敏感配置隔离（不能写在 Environment）

使用 Encrypted Data Bag

knife data bag create secrets db --secret-file secret.pem

{
  "id": "db",
  "production": {
    "password": "supersecret"
  }
}

Cookbook 中：

db_pass = data_bag_item('secrets', 'db')['production']['password']

✅ 避免环境密码泄露

五、节点级别最终隔离顺序（优先级）

Node Attribute
 > Environment Override
   > Role Override
     > Cookbook Default

六、常见隔离模式总结

如果你愿意，我可以：

• 给你一个 完整 dev/prod 示例仓库结构
• 或讲 Chef Zero / Automate 中的环境隔离
• 或对比 Chef vs Terraform 环境隔离

你现在是用的 Chef Server 还是 Chef Zero？