InSpec とは

InSpec は環境構築が正しく行われているかどうかをテストするためのフレームワークです。 Ruby で記述されており環境構築ツールで有名な Chef が開発しています。

serverspec との違い

InSpec と同系のツールに serverspec というフレームワークがあります。もともと InSpec は serverspec の拡張として作られていたため、テストコードの記述の仕方もよく似ています。しかし InSpec の方がセキュリティやコンプライアンスのテストなど serverspec よりも幅広いテストが可能となっています。

InSpec と serverspec の書き方の違いはマイグレーションガイドにまとまっていますので、 serverspec から InSpec に乗り換える際にはご活用下さい。

試した環境

CentOS 7
InSpec 3.0.52

インストール

$ gem install inspec

使い方

Apache がインストールされているかどうかをテストしたいときは次のようなコードを書きます。

httpd.rb

describe package('httpd') do
  it { should be_installed }
end

テストを実行するにはターミナルで次のコマンドを叩きます。下記は httpd が入っていない場合の結果です。

$ inspec exec httpd.rb

Profile: tests from tests (tests from tests)
Version: (not specified)
Target:  local://

  System Package httpd
     ×  should be installed
     expected that `System Package httpd` is installed

Test Summary: 0 successful, 1 failure, 0 skipped

テストを実行する対象はローカルマシンではなくリモートマシンを指定することもできます。リモートマシン上でテストを実行するには次のように ssh でログインするときのユーザ名とパスワードを指定して実行します。

$ inspec exec httpd.rb -t ssh://<user>:<pass>@<host>:<port>

httpd.rb 内の package() というのはリソースといって各種情報源へアクセスするためのオブジェクトになります。リソースには次のようなものがあります。

リソース	説明
package	yum/apt などのパッケージの情報
file	ファイルの情報
http	HTTP に関する情報
port	ポートに関する情報
command	コマンドの実行に関する情報

公式サイトにリソース一覧がまとまっていますのでご活用下さい。

ある観点でテストを作成するときには複数のリソースを使用するケースがあります。そのような場合には control というブロックを使って複数のリソースをまとめることができます。

control 'command' do
  title 'コマンドに関するテスト'

  describe command('/bin/sh').exist? do
    it { should eq true }  # /bin/sh が存在するかの確認
  end

  describe command('echo hello') do
    its('stdout') { shuld eq "hello\n" }  # 標準出力の内容を確認
    its('stderr') { should eq '' }        # 標準エラー出力を確認
    its('exits_status') { should eq 0 }   # 終了コードが 0 であることの確認
  end
end

リソースで提供されていない情報源を参照したい場合は command() を使ってコマンドの実行結果をパースすることになりますが、場合によっては複数のコマンドを組み合わせる必要があったり複雑なパースが必要になることもあります。そのような場合には osquery というコマンドラインツールを使うと情報源の取得を SQL で記述し結果を JSON で受け取れるので記述がシンプルになります。

require 'json'

# osquery で httpd のプロセス情報を JSON で取得
result = command('osqueryi --json "SELECT * FROM processes WHERE name = \'httpd\';"')

JSON.parse(result.stdout).each do |item|
  # httpd はポートをリッスンしているか？
  describe port(item['port']) do
    it { should be_listening }
  end
end

まとめ

ナビタイムではデプロイ時のテストとして InSpec を活用しています。InSpec を使うことで安全なデプロイができるだけでなく、デプロイに対する心理的負担が下がる効果もあるのでぜひご活用下さい。

参考