Terraform Infrastructure Code en pratique : le code et les commandes qui comptent vraiment

# 1. Login utilisateur (ouvre le navigateur)
gcloud auth login

# 2. Sélectionner le projet
gcloud config set project mon-projet-tf-prod

# 3. Créer un Service Account dédié à Terraform
gcloud iam service-accounts create tf-sa \
    --display-name="Terraform Service Account"

# 4. Attribuer le rôle (Editor pour les exercices, plus restreint en prod)
gcloud projects add-iam-policy-binding mon-projet-tf-prod \
    --member="serviceAccount:tf-sa@mon-projet-tf-prod.iam.gserviceaccount.com" \
    --role="roles/editor"

# 5. ADC pour le dev local (méthode recommandée pour Terraform)
gcloud auth application-default login

# 6. (Alternative CI/CD) Créer une clé JSON — sensible, à protéger !
gcloud iam service-accounts keys create key.json \
    --iam-account=tf-sa@mon-projet-tf-prod.iam.gserviceaccount.com
# export GOOGLE_APPLICATION_CREDENTIALS=$PWD/key.json

# 7. Vérifier
gcloud auth list
gcloud config list project

gcloud services enable \
    compute.googleapis.com \
    cloudresourcemanager.googleapis.com \
    iam.googleapis.com \
    iap.googleapis.com

# Vérifier les APIs activées
gcloud services list --enabled

# Générer une paire de clés RSA 4096 bits dédiée à GCP
ssh-keygen -t rsa -b 4096 -f ~/.ssh/gcp_vm -C "votre-user@gcp"

# Option A : OS Login activé sur la VM (utilisé dans cette leçon)
# → la clé publique est gérée par IAM, rien à pousser en metadata

# Option B : Ajout via metadata du projet (clé SSH classique)
gcloud compute project-info add-metadata \
    --metadata-from-file ssh-keys=~/.ssh/gcp_vm.pub

# Restreindre les permissions de la clé privée (obligatoire)
chmod 400 ~/.ssh/gcp_vm

# Structure recommandée pour ce projet
premier-projet-gcp/
├── versions.tf        # Configuration Terraform + provider google
├── variables.tf       # Variables d'entrée (project_id, region, zone, ...)
├── main.tf            # VPC + subnet + firewall rules + VM Compute Engine
├── outputs.tf         # IP publique, commande SSH IAP, URL HTTP
├── startup-script.sh  # Script Bash exécuté au boot de la VM (Nginx)
├── terraform.tfvars   # Valeurs spécifiques (project_id, ...) — NON-COMMITTÉ
└── .gitignore         # Exclure .tfstate, .tfvars, .terraform/, key.json

(New-Object Net.WebClient).DownloadFile("https://dl.google.com/dl/cloudsdk/channels/rapid/GoogleCloudSDKInstaller.exe", "$env:Temp\GoogleCloudSDKInstaller.exe")
& $env:Temp\GoogleCloudSDKInstaller.exe

brew install --cask google-cloud-sdk

echo "deb [signed-by=/usr/share/keyrings/cloud.google.gpg] https://packages.cloud.google.com/apt cloud-sdk main" \
    | sudo tee /etc/apt/sources.list.d/google-cloud-sdk.list

curl https://packages.cloud.google.com/apt/doc/apt-key.gpg \
    | sudo gpg --dearmor -o /usr/share/keyrings/cloud.google.gpg

sudo apt update && sudo apt install -y google-cloud-cli

# Vérifier
gcloud --version
# Google Cloud SDK 488.x.x
# bq 2.x.x
# gsutil 5.x.x

# 1. Connexion (ouvre le navigateur)
gcloud auth login

# 2. Créer un project (project_id doit être globalement unique)
PROJECT_ID="monprojet-tf-$(date +%s)"
gcloud projects create $PROJECT_ID --name="Mon Projet Terraform"

# 3. Lier au billing account (obligatoire pour la plupart des ressources)
BILLING_ID=$(gcloud billing accounts list --format="value(ACCOUNT_ID)" --limit=1)
gcloud billing projects link $PROJECT_ID --billing-account=$BILLING_ID

# 4. Définir le project actif
gcloud config set project $PROJECT_ID
gcloud config set compute/region us-central1
gcloud config set compute/zone us-central1-a

# 5. Vérifier
gcloud config list
# [compute]
# region = us-central1
# zone = us-central1-a
# [core]
# project = monprojet-tf-1714234567

# Activer les APIs courantes
gcloud services enable \
    compute.googleapis.com           `# Compute Engine` \
    storage.googleapis.com           `# Cloud Storage` \
    cloudresourcemanager.googleapis.com `# Resource Manager` \
    iam.googleapis.com               `# IAM` \
    iamcredentials.googleapis.com    `# IAM Credentials (pour SA tokens)` \
    sqladmin.googleapis.com          `# Cloud SQL Admin` \
    run.googleapis.com               `# Cloud Run` \
    secretmanager.googleapis.com     `# Secret Manager` \
    --project=$PROJECT_ID

# Lister les APIs activées
gcloud services list --enabled --project=$PROJECT_ID

aws configure
# AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
# AWS Secret Access Key [None]: wJalrXUt...EXAMPLEKEY
# Default region name [None]: ca-central-1
# Default output format [None]: json

# Vérifier que ça fonctionne
aws sts get-caller-identity
# {
#   "UserId": "AIDA...EXAMPLE",
#   "Account": "123456789012",        ← Votre Account ID
#   "Arn": "arn:aws:iam::123456789012:user/votre-user"
# }

# Créer la structure attendue par data "archive_file"
mkdir -p src/lambda
touch src/lambda/index.py        # Le contenu sera vu en section 8

# Pas de SSH/.pem nécessaire ici — la Lambda s'invoque via API Gateway, pas en SSH

# Structure complète du projet serverless
project-serverless/
├── providers.tf               # Versions Terraform + provider AWS + archive
├── variables.tf               # Variables globales (project_name, environment, region)
├── main.tf                    # Orchestration : appels module.vpc, module.lambda, module.api_gateway
├── outputs.tf                 # Outputs racines (api_url, lambda_name, lambda_arn)
├── terraform.tfvars           # Valeurs concrètes (NON-COMMITTÉ)
├── .gitignore                 # *.tfstate, *.tfvars, .terraform/, dist/
├── README.md
│
├── src/
│   └── lambda/
│       └── index.py           # Code Python de la Lambda
│
├── dist/                      # ZIP généré par data "archive_file" (NON-COMMITTÉ)
│   └── lambda.zip
│
├── environments/              # Valeurs spécifiques par environnement
│   ├── dev.tfvars
│   └── prod.tfvars
│
└── modules/
    ├── vpc/                   # Module réseau réutilisable
    │   ├── main.tf            # aws_vpc, aws_subnet, aws_security_group
    │   ├── variables.tf       # prefix, cidr, environment
    │   └── outputs.tf         # vpc_id, private_subnets, lambda_sg_id
    │
    ├── lambda/                # Module fonction Lambda + IAM
    │   ├── main.tf            # aws_lambda_function, aws_cloudwatch_log_group
    │   ├── iam.tf             # Rôle d'exécution + policy attachments
    │   ├── variables.tf       # function_name, runtime, handler, vpc_id...
    │   └── outputs.tf         # function_name, function_arn, invoke_arn
    │
    └── api_gateway/           # Module API REST
        ├── main.tf            # aws_api_gateway_rest_api, methods, deployment
        ├── variables.tf       # api_name, lambda_arn, lambda_name
        └── outputs.tf         # api_id, api_url, stage