En este artículo, exploraremos las mejores prácticas para implementar IaC con Pulumi, con ejemplos prácticos en GCP, AWS y DigitalOcean, estrategias avanzadas para Kubernetes y consideraciones clave en Disaster Recovery Planning (DRP).

1. ¿Por qué Pulumi para IaC?

Pulumi ofrece ventajas únicas frente a alternativas como Terraform o CloudFormation:

✅ Lenguajes familiares (Python, TypeScript, Go) en lugar de DSLs propietarios.
✅ Soporte multi-cloud (AWS, GCP, Azure, DigitalOcean, Kubernetes).
✅ Estado de infraestructura gestionado (Pulumi Service, S3, etc.).
✅ Integración con CI/CD nativa.
✅ Reutilización de código mediante componentes y librerías.

Ejemplo: Desplegando un cluster Kubernetes en DigitalOcean con Pulumi (Python)

import pulumi
import pulumi_digitalocean as do
# Crear un cluster Kubernetes en DigitalOcean
cluster = do.KubernetesCluster(
    "saas-cluster",
    region="nyc1",
    version="1.25.4-do.0",
    node_pool={
        "name": "default-pool",
        "size": "s-2vcpu-4gb",
        "node_count": 3,
    }
)
# Exportar el kubeconfig
pulumi.export("kubeconfig", cluster.kube_configs[0].raw_config)

Este código despliega un cluster gestionado en DigitalOcean con tres nodos, listo para integrarse en un pipeline de CI/CD.

2. Mejores Prácticas para IaC con Pulumi

🔹 Modularización y Reutilización

Evitar scripts monolíticos. En su lugar, estructurar el código en componentes reutilizables:

# Ejemplo: Módulo para un bucket S3 con políticas de acceso
class SecureBucket(pulumi.ComponentResource):
    def __init__(self, name, **kwargs):
        super().__init__("custom:SecureBucket", name, **kwargs)
        
        self.bucket = aws.s3.Bucket(name)
        aws.s3.BucketPolicy(
            f"{name}-policy",
            bucket=self.bucket.id,
            policy=json.dumps({
                "Version": "2012-10-17",
                "Statement": [{
                    "Effect": "Deny",
                    "Principal": "*",
                    "Action": "s3:*",
                    "Resource": [self.bucket.arn, f"{self.bucket.arn}/*"],
                    "Condition": {"Bool": {"aws:SecureTransport": False}}
                }]
            })
        )
# Uso del módulo
bucket = SecureBucket("prod-data-lake")

🔹 Gestión de Estado (State Management)

Pulumi guarda el estado de la infraestructura. Opciones recomendadas:

• Pulumi Service (gratis para proyectos pequeños).

• Amazon S3 / Google Cloud Storage (para mayor control).

# Inicializar un proyecto con backend en S3
pulumi login s3://my-pulumi-state-bucket

🔹 CI/CD Integrado

Ejemplo con GitHub Actions:

name: Deploy Infrastructure
on:
  push:
    branches: [main]
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
      - uses: pulumi/actions@v3
        with:
          command: up
          stack-name: prod
        env:
          PULUMI_ACCESS_TOKEN: ${{ secrets.PULUMI_ACCESS_TOKEN }}

3. Kubernetes con Pulumi: Gestión Eficiente

Pulumi permite gestionar Kubernetes de forma declarativa sin necesidad de kubectl manual.

Ejemplo: Despliegue de una App en Kubernetes

import pulumi_kubernetes as k8s
# Crear un Namespace
app_ns = k8s.core.v1.Namespace("app-ns")
# Desplegar una aplicación
app = k8s.apps.v1.Deployment(
    "app-deployment",
    metadata={"namespace": app_ns.metadata["name"]},
    spec={
        "replicas": 3,
        "selector": {"match_labels": {"app": "my-saas"}},
        "template": {
            "metadata": {"labels": {"app": "my-saas"}},
            "spec": {
                "containers": [{
                    "name": "app",
                    "image": "my-registry/my-saas-app:latest",
                    "ports": [{"container_port": 8080}]
                }]
            }
        }
    }
)
# Exponer el servicio
service = k8s.core.v1.Service(
    "app-service",
    metadata={"namespace": app_ns.metadata["name"]},
    spec={
        "selector": {"app": "my-saas"},
        "ports": [{"port": 80, "target_port": 8080}],
        "type": "LoadBalancer"
    }
)
pulumi.export("service_url", service.status["load_balancer"]["ingress"][0]["hostname"])

4. Disaster Recovery Planning (DRP) con Pulumi

Un buen DRP define RTO (Recovery Time Objective) y RPO (Recovery Point Objective).

Visualización de RTO/RPO

(Imagen conceptual: Tabla comparando estrategias de backup y replicación)

Ejemplo: Configuración de DRP en AWS

import pulumi_aws as aws
# Replicación de buckets S3 entre regiones
primary_bucket = aws.s3.Bucket("primary-bucket", acl="private")
replica_bucket = aws.s3.Bucket("replica-bucket", acl="private")
aws.s3.BucketReplication(
    "replication",
    bucket=primary_bucket.id,
    role=replication_role.arn,
    rules=[{
        "status": "Enabled",
        "destination": {
            "bucket": replica_bucket.arn,
            "storage_class": "STANDARD"
        }
    }]
)

5. Conclusión

Pulumi es una herramienta poderosa para automatizar infraestructura cloud con código real, mejorando la productividad de equipos DevOps y startups SaaS.

🔹 Mejores prácticas clave:

• Modularizar el código IaC.

• Gestionar el estado de forma segura.

• Integrar con CI/CD.

• Planificar Disaster Recovery (RTO/RPO).

¿Listo para probar Pulumi? Comienza con su documentación oficial.

📢 ¿Quieres más detalles sobre algún tema? ¡Contactame!

#DevOps #InfrastructureAsCode #Pulumi #Kubernetes #CloudComputing #SaaS #DisasterRecovery

🔹 El Problema: Procesamiento Seguro de Archivos

Un cliente necesitaba un sistema donde:

1. Al subir un archivo cifrado y comprimido a un bucket de Cloud Storage, se validara su autenticidad mediante una firma compartida entre emisor y receptor.

2. Si el archivo era válido, se descomprimía y se verificaba la integridad de los archivos internos usando SHA-256.

3. Solo los archivos que pasaran todas las validaciones serían procesados.

⚡ La Solución: Automatización con Cloud Functions

1️⃣ Trigger por Eventos de Cloud Storage

Configuré una Cloud Function activada por eventos de Cloud Storage (google.storage.object.finalize), lo que permite ejecutar código cada vez que se sube un archivo.

Validación de Firma Compartida

El archivo ZIP incluía un archivo .signature con una firma generada mediante un secreto compartido. Usé HMAC-SHA256 para asegurar que el archivo no fuera alterado.

import hmac
import hashlib
def validate_signature(secret_key, file_content, received_signature):
    generated_signature = hmac.new(secret_key.encode(), file_content, hashlib.sha256).hexdigest()
    return hmac.compare_digest(generated_signature, received_signature)

3️⃣ Descompresión y Validación SHA-256

Una vez validada la firma, el sistema descomprimía el archivo y verificaba cada archivo interno contra un hash predefinido.

import zipfile
import hashlib
def check_file_hash(file_path, expected_hash):
    with open(file_path, "rb") as f:
        file_data = f.read()
        computed_hash = hashlib.sha256(file_data).hexdigest()
        return computed_hash == expected_hash

4️⃣ Notificación y Manejo de Errores

Si alguna validación fallaba, el sistema enviaba una alerta por Pub/Sub o Correo Electrónico para notificar al administrador.

📊 Resultados

✅ Procesamiento automatizado y seguro sin intervención manual o humana.
✅ Reducción de errores por archivos corruptos o no autorizados.
✅ Escalabilidad gracias a Cloud Functions (pago por uso).

🚀 ¿Necesitas una Solución Similar?

Si buscas automatizar procesos en la nube con GCP, AWS o Azure, puedo ayudarte a diseñar e implementar una solución robusta y segura.

📩 ¡Contáctame y hablemos de tu proyecto!

Usando código en Typescript trabaje en un PoC para vincular 3 Droplets y balancear sus cargas, para ello hice uso de Pulumi para generar la arquitectura en donde un balanceador de carga recibirá las peticiones y las dirigirá hacia los droplets, a su vez un firewall evitara accesos a puertos no solicitados.

En un post previo hable de Pulumi con Digital Ocean, con el que trabaje en un PoC y Kubernetes. Para este PoC me base en este código  al cual le hice algunas adecuaciones para instalar docker y ejecutar el contenedor de Simple Web y validar el balanceo a través de los 3 Droplets creados.

En la primer creación del Load Balancer, el verificador de salud lo habia definido para revisar el protocolo TCP en el puerto 80, esto genero un fallo general debido al uso del contenedor con python, por lo que procedí a ajustarlo para revisar el protocolo HTTP en el codigo de Typescript en lugar de hacerlo en el panel administrativo de Digital Ocean obteniendo así el estado de salud satisfactorio.

Cabe señalar que existen algunos glitches que Pulumi deberá resolver como en el caso de actualizar el Userdata de los Droplets se generan errores en el recurso del Firewall y Load Balancer.

Les dejo a continuación unas capturas del PoC.

Pulumi Stack

DO VPC creado

DO DROPLETS creados

DO LB creado

DO FW creado

Puedes usar una gran variedad de software para llevarlo a cabo, lo que implica en algunos casos aprender un nuevo lenguaje, algo que Pulumi ha tomado en cuenta para su rápida adopción, por lo que si sabes Typescript, Go, Python, Javascript o .Net reducirás enormemente la curvatura de aprendizaje.

Había escuchado de Pulumi hace un año, hace unas semanas tome dos webinars  y las dudas que tenia sobre su uso, escenarios me animo a probarlo con una promo que obtuve en Digital Ocean por lo que inicie con la creación de un cluster Kuberntes usando Typescript. Pulumi te ofrece una version gratuita si únicamente tú usas el entorno.

La ventaja de esto que puedes ir haciéndolo poco a poco y esta es la lista ordenada de lo que fui administrando con mi código.

1. Creación del Cluster Kubernetes.
2. Creación de algunos namespaces, ex: staging, website
3. Creación de un primer Deployment con nginx en el namespace de staging.
4. Creación de un ClusterIP Service para el Deployment creado en el punto 3.
5. Una gran pausa para instalar Istio (muy complicado y tomaría mas horas) o nginx como Ingress
6. Después de decidirme en el punto 5 por nginx, procedí a crear el código para instalarlo como Ingress, con su namespace usando el Helm v3 Chart; esto me genero un LoadBalancer en Digital Ocean a su vez asignándome la IP Publica.
7. Creación de un Service Ingress para dirigir el tráfico del ingress-nginx creado en el punto 6 hacia el ClusterIP creado en el punto 4, puedes verlo en do.webmago.dev (puede no estar disponible en el futuro).

Ejecucion Paso 1 Pulumi

Revision Dashboard Digital Ocean

Dashboard Pulumi paso 1

Cabe señalar que para mantener mi entorno aislado y no interferir con mis configuraciones de mi equipo trabaje desde un contenedor de docker.

Tengo que aclarar que tuve algunos glitches con Pulumi al aplicar/actualizar cambios y al parecer es un comportamiento algo raro que tiene Digital Ocean, por lo que recibía errores y tenia que volver a ejecutar la actualización de cambios.

En mi experiencia, puedo decir que Pulumi reduce considerablemente su curvatura de aprendizaje y adopción permitiéndote administrar tu Infraestructura como Código con los lenguajes antes mencionados.

• Red/Black
• Blue/Green
• Rollout
• Canary

Me he inclinado por usar el segundo de la lista, el deploy Blue/Green, el cual te permite lanzar una nueva versión e ir redirigiendo tráfico de forma gradual a la nueva versión.

Existe una gran variedad de plugins en Codefresh uno de ellos, hacer un Deploy en tu entorno Kubernetes con Blue/Green, incluso hay un plugin y Howto para hacer un Canary Deployment.

Una de las ventajas de este plugin es que en caso de existir algun timeout, o error en el despliegue de la nueva version, la version actual no se ve afectada debido a que la nueva version es eliminada del clúster.

En caso de ser exitoso el despliegue el plugin en automatico inicia el proceso de redireccion del trafico hacia la  nueva version de forma gradual.

La integracion de este plugin en mis pipelines me ha permitido hacer despliegues sin caídas en entornos de producción de alto tráfico.

Code analysis made easy with the Codefresh’s @SonarQube integration — view the analysis report after every build ? https://t.co/lg3VW2hFZO#DevOps #codeanalysis #testing @urlichsanais pic.twitter.com/SkWJab3mKD

— Codefresh (@codefresh) December 2, 2020

Así que me dí a la tarea de integrar el escaneo de código de uno de los proyectos asignados para confirmar la integración sugerida.

El documento en inglés de Codefresh puedes encontrarlo en Continuous Code Analysis with SonarQube and Codefresh, lo revise y por supuesto que tiene algunos detalles por resolver, en este artículo describí que implemente SonarQube para escanear el código de los proyectos que me son asignados y que había implementado un Script en Bash para hacer el escaneo, algo manual por supuesto, por lo que hacer esto en el pipeline dejaría sin efecto a mi Bash Script, algo que ansiaba hacer en el corto plazo.

Por lo que describiré aquí cómo fue que lo implemente.

Creando el proyecto en SonarQube.

Si aún no has instalado SonarQube, te recuerdo que puedes hacerlo usando Docker, mas información en Install the Server.

1. Para evitar “conflictos” y evitar “mirones” genere un nuevo Grupo y le asigne permisos únicamente para que el Administrador o Usuario indicado pueda ver este proyecto.
2. Genere el proyecto siguiendo el asistente de SonarQube y le asigne un Token para que desde Codefresh pueda usarlo.

Creando Proyecto en Sonarqube

Proyecto Creado SonarQube

Integrando el Plugin al Pipeline del proyecto en Codefresh.

Este fue uno de los pasos de mayor atención, ya que mis pipelines toman las configuraciones de un repositorio adicional, por  lo que tuve que adicionar un Plugin solo para copiar el archivo sonar-project.properties en la raíz del proyecto.

Integración Plugin Pipeline Codefresh

La hora de la verdad, ejecutando el pipeline manualmente.

Aquí es donde veremos si realmente funciona la teoría, claro que la ejecución final tuvo como antecesores varias pruebas para darnos cuenta que debido a la configuración que tomamos por separado no obtenía la propiedad sonar.projectKey necesaria para identificar al proyecto en nuestro SonarQube.

En la imagen podemos ver la ejecución exitosa de nuestro pipeline, en el log del paso QUALITY podemos ver el ID de la Tarea (Task) la cual es AXY_dPYDfvCgCTUgh8X4 y debe coincidir con la tarea en el “fondo” (background) en nuestro escritorio, sección de tareas de SonarQube.

Ejecución Pipeline SonarQube Codefresh

Comprando en la cola de SonarQube la tarea de escaneo.

Como lo anticipe en mi retuit, mencionando que usaban SonarCloud y que si exponían su instalación de SonarQube se podría hacer lo mismo que se indica en el Howto.

Así que vayamos a ver el Dashboard de SonarQube, he puesto en rojo el ID de la Tarea (Task) en la imagen para su rápida identificación.

Tareas en Background SonarQube

Efectivamente podemos ver que la tarea del análisis lanzada desde Codefresh se esta ejecutando en mi instancia de SonarQube y al finalizar puedo revisar la calidad del código del proyecto.

Escritorio Proyecto SonarQube

Con esto comprobamos la integración del escaneo de código usando SonarQube lanzado desde un pipeline en Codefresh.

Si necesitas ayuda puedes contactarme en este enlace.

So, Kubernetes is deprecating Docker support and you’re either nervous or confused. That’s okay! I would like to help you understand what’s happening. A thread! 1/10

— Kat Cosgrove, but ✨festive✨ (@Dixie3Flatline) December 2, 2020

Quienes trabajamos con Kubernetes o en Desarrollo de Software hemos usado Docker para desarrollar y generar las imágenes que finalmente usaremos en nuestro clúster, por supuesto que existen mas proveedores compatibles con OCI (Open Container Initiative) y esto quiere decir que las imágenes que generamos en Docker cumplen con esta normativa.

Ayer 3 de Noviembre 2020, Docker publico un articulo (en inglés) detallando quá sucederá con este cambio dándonos una tranquilidad a toda la comunidad que usa la tecnología de contenedores.

What developers need to know about Docker, Docker Engine, and Kubernetes v1.20

En si, lo que se eliminará probablemente en un año será dockershim, por lo tanto, las imágenes que generes con Docker seguirán funcionando en tu clúster Kubernetes, el cambio es mas para los operadores y administradores de Kubernetes donde el acceso a la inspección de los contenedores usando comandos de Docker no podrán ser usados.

Así que mantén la calma y sigue usando Docker.

Al momento de recibir la orden vía Webhook inicia el proceso de integración del código a través de las ordenes indicadas en el Dockerfile, con esta imagen y/o con la ayuda de otras se realizan pruebas unitarias que los desarrolladores acompañan con sus commits.

Muchos creen que Delivery y Deployment son lo mismo, sin embargo, Deployment es el siguiente paso a Continuos Delivery. En el proceso de Delivery, existe un paso manual, sin embargo, en el Deployment todo sucede de forma automática.

Inspired by Yassal Sundman’s blog post on Crisp’s Blog.

Tras el éxito del paso previo, viene el despliegue o liberación del producto final, Codefresh provee una vasta serie de plugins e imágenes para que no tengas que recurrir a pasos adicionales fuera de su entorno, para mis actuales proyectos en clusters Kubernetes hice uso de su imagen k8s-blue-green, esta me permite hacer despliegues de la version actual y sacar la version previa “del aire“.

Si todo ha ido bien, o mal, el mismo SaaS de forma nativa o haciendo uso de sus plugins puedes notificar via Slack o Telegram a tu equipo sobre el ciclo, haciéndolos participes y corresponsables.

¿Quieres emular un Delivery en esta plataforma?, sin problema, introduce el paso pending-aproval, y através de  Slack, el usuario indicado recibirá la notificación con las opciones para Aprobar o Declinar el proceso desde este medio o el Dashboard del SaaS.

Hoy que estoy trabajando en todo el ciclo de DevOps con Kubernetes no me hacia sentido trabajar en un VPS para generar mis ciclos y demos que veras en el blog, por lo que analice las diferentes ofertas como AWS, Azure, Digital Ocean y finalmente Google donde se encuentra hospedado este blog.

Al inicio intente poner en marcha October CMS, sin embargo tiene muchos puntos que resolver aun para hacer una portación a K8S de forma completa, por lo que opte por WordPress, ya lo he usado con otros proyectos y sé cómo vincularlo a un Volumen.

Inicie el cluster de forma micro, con 3 instancias f1-micro las cuales te dan 1 vCPU y 0.6 GB RAM, sin embargo siempre presentaba un problema alguno de los nodos, por lo que lo incremente a 8 y resulto mas o menos la estabilidad, nace un nuevo problema, montar una BD MySQL para el blog, ya lo he aplicado en clusters K8S con mayores recursos sin problemas, claro, sin la HA que ofrece Cloud SQL; debido a la poca memoria que los nodos tienen, era imposible mantener estable el pod de MySQL, así que analice el costo y bien podría usar una instancia micro sin obtener, claro esta, el SLA por una instancia mas grande, algo que para este proyecto personal no es de gran impacto.

Todo marcha bien hasta que recordé a spotinst.com quienes te ofrecen reducir en un margen del 70 al 80 por ciento del costo de tu cluster, así que manos a la obra y ahora tenemos un cluster de 2 nodos n1-standard-1, lo que representa 1 vCPU y 3.75 GB por nodo, ya les contare en otro post como me ha ido en costos con spotinst.com, de momento el dashboard indica que me he ahorrado 78.97%

Mi lectura incluyo cursos sobre lo que Kubernetes era, como funcionaba, beneficios y los retos a resolver, despliegues blue/green, entre otros.

Previo a ello manejaba alrededor de 25 servidores en donde en conjunto se alojaban los Fronteds, APIs, Admin, cache, Base de Datos y servicios adicionales.

Hacer un despliegue en momentos operativos nos ocasiono en mas de una vez caidas donde tuvimos que hacer un rollback de emergencia.

Durante mi entrenamiento en Kubernetes tuve la experiencia de probar varios entornos CI/CD, entre ellos: Bitbucket pipelines, Circle CI, entorno local Jenkins.

Varios de los problemas que tuve, Codefresh ya los habia analizado y comparado, incluso mi entorno local infructuso de Jenkins -requiere de varios equipos y horas para tunning-, por lo que me di a la tarea de adentrarme en su interface y lenguaje yaml para codificar los pipelines y condicionales de despliegue.

Cabe mencionar que su equipo siempre estara listo para ayudarte, algo que tuve desde el primer momento que conoci a Maya -no es un bot- quien te dara una respuesta o canalizara con un especialista.

Codefresh te ofrece una version gratuita con una cantidad razonable de builds para que lo conozcas, las cuales agoté en el curso del PoC, ellos gentilmente me obsequiaron mas para concluir con mi Prueba de Concepto.

Codefresh esta basada en una tecnologia Docker in Docker, es decir, construyes tus imagenes Docker y testeas en un contenedor.

Codefresh no solo hace despliegues a entornos Kubernetes, tambien hace despliegues a entornos “Legacy”, esas apps que aun se resisten a migrar a este entorno.

Te preguntaras, mi cluster Kubernetes esta detras de mi firewall, puedo hacer el despliegue?, la respuesta es si, personalmente yo experimente este entorno con exito.

Codefresh se integra con cualquier proveedores de Kubernetes, incluidos los personalizados.” (ya que por medio de la opción “custom”, lo unico que se require es la IP/hostname, el certificado, etc.. y listo, ya nos podemos integrar.. sin importar donde este hosteado

Volviendo al tema de los despliegues, con Codefresh implemente su imagen de despliegue Blue/Green, imagina hacer un deploy de 16 contenedores de un microservicio sin tener una caida; con ellos fue posible hacerlo, incluso aplicar el escalado horizontal una vez que la nueva version ha sido publicada y recibir una notificacion en Slack en caso de exito o falla.

Estaras pensando en gitOps, por que no, recientemente vi un webinar donde usaron Terraform para hacer despliegues usando Github y Codefresh.

Por que no te das una vuelta por su sitio y pruebas las bondades que Codefresh tiene para ti, https://codefresh.io/