該公司多年來一直是基礎設施即代碼的參與者，但現在正在擴展到包括安全和云管理，作為三足凳的另外兩條腿。

譯自From IaC to Cloud Management: Pulumi's Evolution Story，作者 Jeffrey Burt。

Pulumi七年來一直在構建其旗艦基礎設施即代碼(IaC)產品，為開發人員和DevOps團隊提供一種更輕松、開源的方式來自動創建和管理其云基礎設施。他們可以使用任何他們想要的編程語言，從C#和YAML到Python、Go和Java。他們可以將其成果部署到超過170個對他們有意義的云提供商中，包括亞馬遜網絡服務 (AWS)、微軟Azure和谷歌云平臺等巨頭。

這對公司來說非常有效，聯合創始人兼首席執行官在最近的一篇博客文章中指出，Pulumi的IaC下載量超過1億次，并且在之前的幾周內獲得了HashiCorp的Terraform貢獻量的167%和OpenTofu貢獻量的300%。

“Pulumi不僅是最強大的IaC技術，而且越來越受歡迎和充滿活力，”Duffy寫道。

現在，該公司發現自己身處一個正在經歷劇變的IaC市場，因為HashiCorp近年來已成為主導玩家，正準備被納入龐大的IBM體系，IBM收購該公司的64億美元交易預計將在年底前完成。此次收購將在已經競爭激烈且不斷發展的市場中為Pulumi等供應商創造更多空間。

這是一個巨大且不斷增長的領域。根據Fortune Business Insights的分析師預測，全球IaC市場將從去年的9.087億美元增長到2030年的33億美元以上。

該公司將繼續發展Pulumi IaC，同時還將提供Pulumi ESC和Pulumi Insights用于云管理的安全管理產品。Duffy和其他高管過去曾談到過這些產品，但在最近的PulumiUP虛擬活動中，他們將所有這些產品整合在一起，創建了一個統一的平臺，他們表示該平臺將滿足開發人員的所有基礎設施需求。

“這是Pulumi第一次真正作為一個多產品平臺推出，”Duffy告訴The New Stack。“我們以我們的基礎設施即代碼產品而聞名，它是開源的。這仍然是我們正在做的一切的動力。如果沒有Pulumi IaC的基礎，Insights就不可能實現。現在，我們擁有這三個相互獨立但協同更好的產品，它們可以獨立采用。我們真的想成為一個值得信賴的合作伙伴。如果您是基礎設施副總裁，我們正試圖解決您遇到的每一個關鍵任務問題。”

一年多的籌備

這家位于西雅圖的公司首次向業界展示了Pulumi ESC（代表“環境、密鑰和配置”）——去年，數百家組織參與了公開測試。它現在已正式上市。對于開發人員來說，Pulumi ESC 是一個管理所有環境、密鑰和配置的中心位置，它正好位于他們的源代碼（例如HashiCorp的Vault、AWS Secrets Manager、Azure Key Vault、谷歌云Secrets Manager、Password1和Pulumi Cloud Secrets）和目標環境（例如相同的 major cloud providers 以及 GitLab、Docker 容器、Kubernetes、Cloudflare Workers 和 Pulumi 本身）之間。

“它是全自動的。你可以在中心位置定義所有密鑰和所有環境，然后開發人員可以訪問和組合它們，”他說。“它與現有的密鑰存儲集成……我們為他們提供了一個標準接口，開發人員可以輕松使用，而基礎設施和安全團隊可以審核所有訪問權限，控制所有訪問權限，并在必要時從一個地方撤銷訪問權限。你無需再關注可能出現密鑰的十幾個不同的地方。只需訪問一個中心位置即可。”

Pulumi 加強安全功能

在平臺內部，Pulumi 的安全產品變得越來越重要，因為越來越多的企業數據和應用程序遷移到云端。Duffy 說，這項工具對大小公司都很重要。

“許多公司最重要的數據和最重要的資產現在都在云端，這意味著它們可能對互聯網開放，”他說。“人們不再能夠依賴數據中心的物理安全錯覺。現在他們必須考慮基于軟件的安全。”

這種情況已經持續了一段時間，但在 COVID-19 大流行期間加速了，當時各組織清空了辦公室，業務變得高度分散和基于云。然而，即使在這些左移時期, 在很多方面，安全仍然是事后考慮的問題，他說。

“人們開發和交付軟件的方式，安全通常是事后考慮的問題，開發人員編寫代碼，基礎設施團隊將代碼放入云中，然后安全團隊追查所有發現的問題，無論是 CVE 和未修補的容器還是可訪問互聯網的虛擬機，還是云基礎設施本身的錯誤配置，”Duffy 說。“如今許多工具和軟件都傾向于假設混亂已經存在，并‘讓我們去查找和修復問題’。”

然而，隨著向左移的推動以及持續集成和持續交付所推動的加速步伐，企業希望他們的開發人員能夠掌控全局并快速迭代，將代碼交付到云端，幾乎沒有障礙和很少的摩擦。代碼交付每天進行多次，而不是每季度一次。管理密鑰是關鍵。

“錯誤的因素之一是密鑰，以及確保您最敏感的信息（無論是數據庫密碼、令牌還是訪問您的[帳戶]的應用程序密鑰）得到安全可靠的處理，”Duffy 說。“為了能夠左移，您的開發人員需要一個解決方案，讓他們知道所有這些東西都將始終安全。它需要內置其中。它不能是你事后添加的東西。”

獲取對云基礎設施的洞察

Pulumi在 2023 年初啟動了 Insights，為組織提供對其多個云環境的可見性、智能和控制。與 ESC 一樣，Insights 的目標是默認情況下實現安全等功能，但通過云資產和合規性管理服務實現。它不僅幫助開發人員和其他人員了解他們擁有的資源及其位置，而且還為他們提供合規性補救功能、搜索、資源可視化和基于 AI 的洞察。這是 Pulumi 之前工作的一大進步。

“這并非直接在我們擅長的領域內，但……由于我們的基礎設施是良好的產品，我們了解所有這些云的全部情況，”他說。“我們說的是，‘如果我們有一種方法可以發現您擁有的所有資源，無論它們在哪里，并將它們引入我們已經擁有的數據模型（包括搜索和 AI 以及所有這些優秀的功能），那么我們將能夠提供更好的可見性。’這與我們的策略代碼引擎相結合，該引擎已經在為基礎設施即代碼工作負載執行合規性檢查，我們找到了一種方法，可以利用我們所做的所有工作，并將其應用于您運行的任何基礎設施。”

更好、更強大的 Insights

Insights 的第一個版本包括對 IaC 基礎設施的搜索和儀表板，以及將其導出到 Snowflake 的功能。Pulumi 加強了 Insights 2.0，使組織能夠將其功能應用于其所有云基礎設施，無論其位置如何。它支持近 200 個云，并提供所有云資產的即時清單。Pulumi 內部有完整的透視表、可自定義的報表和儀表板、搜索和 Pulumi Copilot，用于發現云資源并交互式地提出問題。

此功能還利用 Pulumi 的 CrossGuard 策略即代碼功能，該功能包括自動化補救措施的能力，因此 Insights 不僅可以提醒安全或合規性問題，還可以通過單擊按鈕幫助團隊修復這些問題。

它探討了利用人工智能解決問題的能力，以及對某種程度人工干預的渴望，這也是Pulumi一直在努力解決的問題。

“我們討論了一段時間，因為我們很多人希望所有事情都在CI/CD管道中，并且圍繞它有一個軟件開發生命周期流程，我們總是遵循這個流程，”Duffy說。“你永遠不會點擊一個按鈕來修復問題。但如果你坐在那里盯著一個安全漏洞，你可能想要一個按鈕，上面寫著‘去修復它’，即使你之后會有一些工作流程來確保它永久修復，并且其中涉及Jira工單等等。我認為這將成為我們的一個關鍵差異化因素。”

Pulumi Kubernetes Operator 2.0

與此同時，本月早些時候，該公司發布了Pulumi Kubernetes Operator 2.0測試版，它使用戶能夠從Kubernetes環境中部署和管理云基礎設施。通過2.0版本的發布，Pulumi解決了影響早期用戶的可擴展性和隔離性限制。

Pulumi Kubernetes Operator定義了一個名為pulumi.com/v1/Stack的Kubernetes自定義資源，它代表一個Pulumistack，Pulumi的軟件工程師Eron Wright在一篇博客文章中寫道。Pulumi stack可以使用任何受支持的Pulumi語言（TypeScript、Python、Go、.NET、Java、YAML）編寫，并可以在任何受支持的云（AWS、Azure、GCP、Kubernetes和60多個其他云和SaaS提供商）中部署和管理云基礎設施。Wright說，Pulumi Kubernetes Operator根據Stack自定義資源或其使用的資源的變化觸發云部署。

因此，Pulumi Kubernetes Operator使用戶能夠通過使用直接在其Kubernetes集群中管理的資源來指定其云基礎設施的期望狀態。該公司表示，修改這些Kubernetes資源將觸發對其管理的基礎云基礎設施的創建、更新和刪除。

PulumiUP Europe

Pulumi將在即將于11月20日虛擬舉行的PulumiUP Europe大會上展示這款產品和其他關鍵產品。

除了產品信息外，Pulumi還將贊助關于平臺工程、DevOps和安全等主題的會議。

例如，根據Gartner的預測，到2026年，80%的開發公司預計將擁有內部平臺服務和團隊來提高開發效率。隨著平臺工程繼續重塑組織管理基礎設施的方式，集成DevOps和安全對于構建可擴展、安全的平臺至關重要。這包括在將DevSecOps集成到規模化平臺時面臨的挑戰和機遇，以確保開發人員的自主性，同時保持治理和合規性。

IaC的不足

StackGen，一家生成式Infrastructure from Code (IfC)公司，于10月30日發布了關于IaC采用面臨重大挑戰的研究。他們對315名參與者的調查中的主要發現包括：97%的IaC用戶報告遇到困難，只有13%的組織實現了IaC成熟度。此外，56%的開發人員表示他們花費超過20%的時間在基礎設施管理上。

此外，一些主要挑戰包括安全性和可靠性問題（56%的人難以保持一致的配置）。然而，根據StackGen的說法，IfC正在成為一種潛在的解決方案，盡管目前只有22%的人熟悉它。

StackGen將其IfC解決方案定位為通過根據應用程序源代碼自動生成基礎設施配置來解決這些挑戰，并具有內置的安全性和合規性標準。