Terraform Infrastructure Code na prática: o código e os comandos que realmente importam

# 1. Login do usuário (abre o navegador)
gcloud auth login

# 2. Selecionar o projeto
gcloud config set project mon-projet-tf-prod

# 3. Criar uma Service Account dedicada ao Terraform
gcloud iam service-accounts create tf-sa \
    --display-name="Terraform Service Account"

# 4. Atribuir a função (Editor para os exercícios, mais restrita em prod)
gcloud projects add-iam-policy-binding mon-projet-tf-prod \
    --member="serviceAccount:tf-sa@mon-projet-tf-prod.iam.gserviceaccount.com" \
    --role="roles/editor"

# 5. ADC para dev local (método recomendado para Terraform)
gcloud auth application-default login

# 6. (Alternativa CI/CD) Criar uma chave JSON — sensível, proteja!
gcloud iam service-accounts keys create key.json \
    --iam-account=tf-sa@mon-projet-tf-prod.iam.gserviceaccount.com
# export GOOGLE_APPLICATION_CREDENTIALS=$PWD/key.json

# 7. Verificar
gcloud auth list
gcloud config list project

gcloud services enable \
    compute.googleapis.com \
    cloudresourcemanager.googleapis.com \
    iam.googleapis.com \
    iap.googleapis.com

# Verificar as APIs ativadas
gcloud services list --enabled

# Gerar um par de chaves RSA 4096 bits dedicado ao GCP
ssh-keygen -t rsa -b 4096 -f ~/.ssh/gcp_vm -C "votre-user@gcp"

# Opção A : OS Login ativado na VM (usado nesta lição)
# → a chave pública é gerenciada por IAM, nada a enviar em metadados

# Opção B : Adicionar via metadados do projeto (chave SSH clássica)
gcloud compute project-info add-metadata \
    --metadata-from-file ssh-keys=~/.ssh/gcp_vm.pub

# Restringir as permissões da chave privada (obrigatório)
chmod 400 ~/.ssh/gcp_vm

# Estrutura recomendada para este projeto
premier-projet-gcp/
├── versions.tf        # Configuração Terraform + provider google
├── variables.tf       # Variáveis de entrada (project_id, region, zone, ...)
├── main.tf            # VPC + subnet + firewall rules + VM Compute Engine
├── outputs.tf         # IP pública, comando SSH IAP, URL HTTP
├── startup-script.sh  # Script Bash executado no boot da VM (Nginx)
├── terraform.tfvars   # Valores específicos (project_id, ...) — NÃO-COMMITADO
└── .gitignore         # Excluir .tfstate, .tfvars, .terraform/, key.json

(New-Object Net.WebClient).DownloadFile("https://dl.google.com/dl/cloudsdk/channels/rapid/GoogleCloudSDKInstaller.exe", "$env:Temp\GoogleCloudSDKInstaller.exe")
& $env:Temp\GoogleCloudSDKInstaller.exe

brew install --cask google-cloud-sdk

echo "deb [signed-by=/usr/share/keyrings/cloud.google.gpg] https://packages.cloud.google.com/apt cloud-sdk main" \
    | sudo tee /etc/apt/sources.list.d/google-cloud-sdk.list

curl https://packages.cloud.google.com/apt/doc/apt-key.gpg \
    | sudo gpg --dearmor -o /usr/share/keyrings/cloud.google.gpg

sudo apt update && sudo apt install -y google-cloud-cli

# Verificar
gcloud --version
# Google Cloud SDK 488.x.x
# bq 2.x.x
# gsutil 5.x.x

# 1. Conexão (abre o navegador)
gcloud auth login

# 2. Criar um project (project_id deve ser globalmente único)
PROJECT_ID="monprojet-tf-$(date +%s)"
gcloud projects create $PROJECT_ID --name="Mon Projet Terraform"

# 3. Vincular à billing account (obrigatório para a maioria dos recursos)
BILLING_ID=$(gcloud billing accounts list --format="value(ACCOUNT_ID)" --limit=1)
gcloud billing projects link $PROJECT_ID --billing-account=$BILLING_ID

# 4. Definir o project ativo
gcloud config set project $PROJECT_ID
gcloud config set compute/region us-central1
gcloud config set compute/zone us-central1-a

# 5. Verificar
gcloud config list
# [compute]
# region = us-central1
# zone = us-central1-a
# [core]
# project = monprojet-tf-1714234567

# Ativar as APIs comuns
gcloud services enable \
    compute.googleapis.com           `# Compute Engine` \
    storage.googleapis.com           `# Cloud Storage` \
    cloudresourcemanager.googleapis.com `# Resource Manager` \
    iam.googleapis.com               `# IAM` \
    iamcredentials.googleapis.com    `# IAM Credentials (para SA tokens)` \
    sqladmin.googleapis.com          `# Cloud SQL Admin` \
    run.googleapis.com               `# Cloud Run` \
    secretmanager.googleapis.com     `# Secret Manager` \
    --project=$PROJECT_ID

# Listar as APIs ativadas
gcloud services list --enabled --project=$PROJECT_ID

aws configure
# AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
# AWS Secret Access Key [None]: wJalrXUt...EXAMPLEKEY
# Default region name [None]: ca-central-1
# Default output format [None]: json

# Verificar que funciona
aws sts get-caller-identity
# {
#   "UserId": "AIDA...EXAMPLE",
#   "Account": "123456789012",        ← Seu Account ID
#   "Arn": "arn:aws:iam::123456789012:user/votre-user"
# }

# Criar a estrutura esperada por data "archive_file"
mkdir -p src/lambda
touch src/lambda/index.py        # O conteúdo será visto na seção 8

# Sem SSH/.pem necessário aqui — a Lambda é invocada via API Gateway, não por SSH

# Estrutura completa do projeto serverless
project-serverless/
├── providers.tf               # Versões Terraform + provider AWS + archive
├── variables.tf               # Variáveis globais (project_name, environment, region)
├── main.tf                    # Orquestração : chamadas module.vpc, module.lambda, module.api_gateway
├── outputs.tf                 # Outputs raiz (api_url, lambda_name, lambda_arn)
├── terraform.tfvars           # Valores concretos (NÃO-COMMITIDO)
├── .gitignore                 # *.tfstate, *.tfvars, .terraform/, dist/
├── README.md
│
├── src/
│   └── lambda/
│       └── index.py           # Código Python da Lambda
│
├── dist/                      # ZIP gerado por data "archive_file" (NÃO-COMMITIDO)
│   └── lambda.zip
│
├── environments/              # Valores específicos por ambiente
│   ├── dev.tfvars
│   └── prod.tfvars
│
└── modules/
    ├── vpc/                   # Módulo de rede reutilizável
    │   ├── main.tf            # aws_vpc, aws_subnet, aws_security_group
    │   ├── variables.tf       # prefix, cidr, environment
    │   └── outputs.tf         # vpc_id, private_subnets, lambda_sg_id
    │
    ├── lambda/                # Módulo função Lambda + IAM
    │   ├── main.tf            # aws_lambda_function, aws_cloudwatch_log_group
    │   ├── iam.tf             # Função de execução + anexos de policy
    │   ├── variables.tf       # function_name, runtime, handler, vpc_id...
    │   └── outputs.tf         # function_name, function_arn, invoke_arn
    │
    └── api_gateway/           # Módulo API REST
        ├── main.tf            # aws_api_gateway_rest_api, methods, deployment
        ├── variables.tf       # api_name, lambda_arn, lambda_name
        └── outputs.tf         # api_id, api_url, stage