Steigerung der Entwickler-Effizienz durch DoorDashs erfolgreiche Policy-Automatisierung

In einem jüngsten Schritt zur Stärkung ihrer Entwickler-Effizienz hat DoorDash die Kraft des Open Policy Agent (OPA) in erheblichem Maße genutzt. Das Infrastrukturteam bei DoorDash hat bemerkenswerte Vorteile aus dieser Initiative beobachtet, darunter beschleunigte Überprüfungen von Änderungen an Infrastrukturrichtlinien, umfassendere Kennzeichnung von Ressourcen und eine signifikante Reduzierung von Vorfällen, die aus Richtlinienverstößen resultieren.

Aus vergangenen Vorfällen lernen – DoorDashs Weg zur Policy-Automatisierung

Vor einigen Jahren erlebte DoorDash einen Vorfall, der zu einem plötzlichen Rückgang ihres Bestellvolumens führte. Obwohl das Infrastrukturteam die Situation innerhalb einer Stunde beheben konnte, war die Ursache des Vorfalls ein scheinbar unschuldiger Fehler: die versehentliche Entfernung kritischer AWS-Ressourcen, die in einem Terraform-Code mit etwa 90 anderen Ressourcen verborgen waren. Diese Erkenntnis veranlasste DoorDash, den Weg der Policy-Automatisierung zu beschreiten, um sich vor solchen entscheidenden Übersehen in der Zukunft zu schützen.

Das Rückgrat – Nutzung von OPA und Atlantis

Im Herzen von DoorDashs Erfolg steht Atlantis, ein Open-Source-Orchestrator, der für Terraform-Pläne entwickelt wurde. Dieser Orchestrator übernimmt die Verantwortung für den Lebenszyklus des Terraform-Plans. Der Prozess beginnt damit, dass Nutzer Infrastruktur-Pull-Requests auf GitHub initiieren, wodurch ein Webhook-Ereignis ausgelöst wird, das an einen Atlantis-Worker gesendet wird. Dieser Worker ruft dann OPA-Richtlinien aus einem bestimmten S3-Bucket ab.

Compliance sicherstellen – die Rolle der Policy-Regeln

Die Erstellung von Policy-Regeln mit Rego-Abfragen hat sich als entscheidend für DoorDash erwiesen. Diese Policy-Regeln fungieren als Detektive, die Abweichungen vom erwarteten Systemzustand aufspüren. Hier tritt das Contest-Tool in die Szene und nutzt OPA-Richtlinien rigoros, um Daten gegen Policy-Aussagen zu bewerten.

Die Puzzleteile zusammenfügen – Ausführung und Überprüfung

Sobald das Contest-Tool seine Bewertung gegen den Terraform-Plan abgeschlossen hat, tritt Atlantis in Aktion, um den Plan mit den OPA-definierten Richtlinien in Einklang zu bringen. Der Höhepunkt dieses Prozesses sieht vor, dass die Ergebnisse zusammen mit detaillierten Terraform-Plan-Informationen als Kommentare direkt zu den entsprechenden GitHub-Pull-Requests hinzugefügt werden.

Workflow mit Pull Approve optimieren

Um die Effizienzagenda voranzutreiben, integriert DoorDash Pull Approve in die Gleichung. Diese GitHub-Integration bewältigt meisterhaft kritische Aspekte des Entwicklungslebenszyklus: Code-Review, Zuweisung und Policy-Compliance. Mit den notwendigen Genehmigungen in sicherer Hand übernimmt Atlantis die Leitung und führt Änderungen an AWS-Ressourcen gemäß dem Terraform-Plan durch.

Policies – Wächter der Zuverlässigkeit, Geschwindigkeit, Effizienz und Sicherheit

Um die Vielseitigkeit dieses Automatisierungsvorhabens zu veranschaulichen, wirft Lin Du, Senior Software Engineer bei DoorDash, Licht auf die Vielfalt der eingesetzten Richtlinien. Diese Richtlinien können in vier verschiedene Kategorien eingeteilt werden: Zuverlässigkeit, Geschwindigkeit, Effizienz und Sicherheit.

Unter dem Dach der Zuverlässigkeit ist ein paramounter Aspekt der Schutz kritischer Ressourcen vor unbeabsichtigter Löschung. Du erläutert diesen Punkt mit einem Beispiel für eine Richtlinie, die diese unverzichtbaren Ressourcen identifiziert. Die Implementierung der Richtlinie verlangt weiter einen Verifikationsschritt, der eine administrative Überprüfung erfordert, bevor Änderungen an diesen Ressourcen vorgenommen werden können.

Zur Steigerung der Geschwindigkeit führt Du ein Szenario vor, in dem Richtlinien dabei helfen, Terraform-Module in einem bestimmten Pull-Request gegen eine bereits genehmigte Liste zu prüfen. Sollte das Team ein nicht aufgeführtes Modul verwenden, regt die Richtlinie sie an, vorab genehmigte Alternativen zu berücksichtigen, um eine reibungslose und effiziente Code-Wiederverwendung zu gewährleisten.

Den Weg ebnen – Vorteile in Hülle und Fülle

Die Ergebnisse der Policy-Automatisierung bei DoorDash sind nichts weniger als transformativ. Die Zeit, die das Infrastrukturteam in die Überprüfung von Pull-Requests investiert, ist deutlich gesunken, was den Weg für ganzheitliche Produktverbesserungen ebnet. Noch kritischer ist die neu gewonnene Fähigkeit des Teams, Policy-Abweichungen frühzeitig zu erkennen, was als präventiver Schutz vor Vorfällen aufgrund von Policy-Verstößen gedient hat. Als Zeugnis ihres Erfolgs hat das Team eine bemerkenswerte Steigerung der Ressourcen-Kennzeichnungsabdeckung und -Standardisierung erreicht, die von bescheidenen 20 % auf beeindruckende 97,9 % gestiegen ist. Diese Leistung hat nicht nur die Kosten optimiert, sondern auch die Teamdynamik gestrafft.

DoorDashs Reise in die Policy-Automatisierung exemplifiziert, wie die Nutzung von Tools wie Open Policy Agent, Atlantis und Pull Approve transformative Ergebnisse liefern kann. Das Unternehmen hat sich durch sorgfältige Policy-Erstellung, -Ausrichtung und -Durchsetzung einer Zukunft mit verbesserter Entwickler-Effizienz, reduzierten Vorfällen und Kostenoptimierung angenähert. Während sich die Branche weiterentwickelt, steht DoorDashs Erfolgsgeschichte als Inspiration da und leuchtet einen Pfad für andere aus, dem sie in ihrem Streben nach gestrafften Workflows und erhöhter Produktivität folgen können.