Documentacao repositório iac-sei

Introducao geral

Este conjunto de arquivos Terraform provisiona uma arquitetura OCI para o ambiente SEI. A stack cria recursos de computacao, rede, balanceamento de carga, armazenamento compartilhado, logging, backup, WAF e seguranca por Vault. O desenho geral usa uma rede em camadas: um load balancer publico recebe o trafego HTTP/HTTPS/SOLR, encaminha as requisicoes para instancias privadas SEI, SIP e SOLR, e os servidores de aplicacao acessam servicos internos como banco MySQL, Memcached, JodServer e File Storage.

As instancias sao criadas com Oracle Linux 9, sem IP publico, distribuidas entre fault domains e inicializadas por arquivos cloud-init especificos por papel. O codigo tambem gera uma chave SSH master e uma senha administrativa MySQL, armazenando esses segredos no OCI Vault protegido por chave KMS criada no proprio Terraform.

Visao geral dos componentes

Componente	Arquivos principais	O que e provisionado
Provider e data sources	providers.tf, data_sources.tf	Provider OCI, imagem Oracle Linux 9 mais recente, availability domain, fault domains e configuracoes MySQL.
Compute	server_instances_*.tf	Instancias SEI, SIP, SOLR, Memcached e JodServer.
Rede e NSGs	nsg-*.tf	Network Security Groups e regras para load balancer, aplicacao, SOLR, Memcached, JodServer e banco.
Load balancer	sei_public_load_balancer.tf	Load balancer publico flexivel, backend sets, backends, listeners, hostnames e logs.
File Storage	fss_server.tf, variables_sei_nfs.tf	File system SEI, mount target, export set, export /dados e snapshot policy opcional.
Vault e senhas	vault.tf, generation_keys.tf	Vault, KMS key, chave SSH master, senha MySQL e secrets no OCI Vault.
Backup	boot_volume_backups.tf	Politica opcional de backup e volume group com boot volumes das instancias.
WAF	sei_waf.tf	Politica WAF opcional, Web App Firewall vinculado ao load balancer e log WAF.
Logging	logging_group.tf, sei_public_load_balancer.tf, sei_waf.tf	Grupo de logs e logs de acesso/erro do load balancer e do WAF.

Armazenamento de senhas e segredos no Vault

O codigo evidencia uma estrategia de centralizacao de segredos no OCI Vault:

Recurso	Arquivo	Funcao
oci_kms_vault.vault-sei	vault.tf	Cria o Vault sei-vault-${environment} no compartimento de seguranca.
oci_kms_key.sei-vault-keys	vault.tf	Cria uma chave KMS AES de 32 bytes usada para criptografar os secrets.
tls_private_key.master_ssh_key	generation_keys.tf	Gera uma chave SSH RSA 4096 bits usada como chave autorizada das instancias.
random_password.password_mysql_admin	generation_keys.tf	Gera senha MySQL de 16 caracteres com numero, maiuscula, minuscula e caractere especial.
oci_vault_secret.sei_oci_vault_secret_private_key	generation_keys.tf	Armazena a chave SSH privada como secret master-private-ssh-key.
oci_vault_secret.sei_oci_vault_secret_pulbic_key	generation_keys.tf	Armazena a chave SSH publica como secret master-public-ssh-key.
oci_vault_secret.sei_oci_vault_secret_mysql	generation_keys.tf	Armazena a senha MySQL gerada como secret master-mysql-password.

Todos os secrets gravados em oci_vault_secret usam content_type = "BASE64" e o conteudo e enviado por base64encode(...). A chave SSH publica tambem e usada diretamente no metadata.ssh_authorized_keys das instancias de compute.

Ponto de atencao: embora os secrets sejam armazenados no OCI Vault, valores gerados por recursos Terraform podem ficar registrados no Terraform state. O state deve ser protegido com controle de acesso, criptografia e backend adequado.

Arquivos Terraform

Arquivo	Descricao
providers.tf	Configura o provider OCI com tenancy, usuario, fingerprint, chave privada e regiao.
variables.tf	Declara as variaveis principais da stack.
variables_sei_nfs.tf	Declara variaveis especificas de NFS/FSS.
terraform.tfvars	Define valores de exemplo/ambiente para as variaveis.
data_sources.tf	Consulta imagem Oracle Linux 9, ADs, FDs e configuracoes MySQL.
server_instances_sei.tf	Cria instancias SEI com cloud-init-sei.yaml.
server_instances_sip.tf	Cria instancias SIP com cloud-init-sip.yaml.
server_instances_solr.tf	Cria instancias SOLR com disco de boot customizado e cloud-init-solr.yaml.
server_instances_memcached.tf	Cria instancias Memcached com cloud-init-memcached.yaml.
server_instances_jod.tf	Cria instancias JodServer com cloud-init-jod.yaml.
sei_public_load_balancer.tf	Cria load balancer publico, backends, listeners, hostnames e logs.
nsg-sei-lbs-nsg.tf	Cria NSG do load balancer publico.
nsg-sei-servers-nsg.tf	Cria NSG dos servidores SEI.
nsg-sip-servers-nsg.tf	Cria NSG dos servidores SIP.
nsg-solr-servers-nsg.tf	Cria NSG dos servidores SOLR.
nsg-memcached-servers-nsg.tf	Cria NSG dos servidores Memcached.
nsg-jod-servers-nsg.tf	Cria NSG dos servidores JodServer.
nsg-database-nsg.tf	Cria NSG de banco de dados.
fss_server.tf	Cria File Storage, mount target, export e snapshot policy opcional.
vault.tf	Cria Vault e chave KMS.
generation_keys.tf	Gera chave SSH e senha MySQL, salvando os valores em secrets no Vault.
boot_volume_backups.tf	Cria politica opcional de backup dos boot volumes.
logging_group.tf	Cria grupo de logs.
sei_waf.tf	Cria WAF opcional e log de WAF.

Variaveis

Autenticacao e provider

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
tenancy_ocid	Nao declarado	""	OCID da tenancy OCI. Usado pelo provider e pelos data sources de identity.
user_ocid	Nao declarado	""	OCID do usuario OCI usado para autenticar o provider.
fingerprint	Nao declarado	""	Fingerprint da API key OCI.
private_key_path	Nao declarado	/home/opc/.oci/terraform_key.pem	Caminho local da chave privada da API OCI.
region	Nao declarado	sa-saopaulo-1	Regiao OCI onde os recursos serao criados.

Ambiente

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
environment	string	hml	Identificador do ambiente. E usado em nomes de instancias, vault, FSS, backup, WAF, logs e load balancer.

Compartimentos

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
ocid_compartment_app	Nao declarado	""	Compartimento para instancias, FSS, logging group, data source de imagens e backups.
ocid_compartment_database	Nao declarado	""	Compartimento previsto para banco de dados. Foi declarado, mas nao ha uso direto nos arquivos raiz atuais.
ocid_compartment_security	Nao declarado	""	Compartimento de seguranca usado para Vault, KMS key, secrets e logs do WAF.
ocid_compartment_networking	Nao declarado	""	Compartimento de rede usado por NSGs, load balancer, logs do load balancer e WAF.

Rede

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
ocid_vcn_3_tier	Nao declarado	""	OCID da VCN onde os NSGs sao criados.
ocid_subnet_app	Nao declarado	""	OCID da subnet privada de aplicacao usada pelas instancias e pelo mount target do FSS.
ocid_subnet_database	Nao declarado	""	OCID da subnet de banco. Foi declarado, mas as regras usam o CIDR cidr_subnet_database; nao ha uso direto deste OCID nos arquivos raiz atuais.
ocid_subnet_public	Nao declarado	""	OCID da subnet publica onde o load balancer e criado.

CIDRs

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
cidr_subnet_app	Nao declarado	172.20.2.64/26	CIDR da subnet de aplicacao. Usado em regras NSG para acesso interno entre aplicacao, SOLR, Memcached, JodServer e banco.
cidr_subnet_database	Nao declarado	172.20.2.128/26	CIDR da subnet de banco. Usado como destino para MySQL 3306 e MySQL HeatWave 33060.
cidr_subnet_web	Nao declarado	172.20.2.0/26	CIDR da camada web/load balancer. Usado como origem para entrada em SEI, SIP e SOLR.
cidr_anywhere	Nao declarado	0.0.0.0/0	CIDR aberto para internet. Usado no NSG do load balancer para HTTP 80 e HTTPS 443.

Instancias SEI

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
sei_amount_instances	Nao declarado	1	Quantidade de instancias SEI criadas por oci_core_instance.sei-instance.
sei_prefix_hostname	Nao declarado	sei-server	Prefixo do nome das instancias SEI.
sei_shape	Nao declarado	VM.Standard.E4.Flex	Shape das instancias SEI. Tambem e usado para buscar a imagem Oracle Linux 9 mais recente.
sei_amount_memory	Nao declarado	4	Memoria em GB das instancias SEI.
sei_amount_ocpus	Nao declarado	1	OCPUs das instancias SEI.
sei_fqdn	Nao declarado	""	FQDN/hostname do SEI no load balancer.

Instancias SIP

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
sip_amount_instances	Nao declarado	1	Quantidade de instancias SIP criadas por oci_core_instance.sip-instance.
sip_prefix_hostname	Nao declarado	sip-server	Prefixo do nome das instancias SIP.
sip_shape	Nao declarado	VM.Standard.E4.Flex	Shape das instancias SIP.
sip_amount_memory	Nao declarado	4	Memoria em GB das instancias SIP.
sip_amount_ocpus	Nao declarado	1	OCPUs das instancias SIP.
sip_fqdn	Nao declarado	""	FQDN/hostname do SIP no load balancer.

Instancias SOLR

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
solr_amount_instances	Nao declarado	2	Quantidade de instancias SOLR criadas por oci_core_instance.solr-instance.
solr_prefix_hostname	Nao declarado	solr-server	Prefixo do nome das instancias SOLR.
solr_shape	Nao declarado	VM.Standard.E4.Flex	Shape das instancias SOLR.
solr_amount_memory	Nao declarado	8	Memoria em GB das instancias SOLR.
solr_amount_ocpus	Nao declarado	1	OCPUs das instancias SOLR.
solr_boot_disk_size	Nao declarado	200	Tamanho do boot volume das instancias SOLR, em GB.
solr_fqdn	Nao declarado	""	FQDN/hostname do SOLR no load balancer.

Instancias Memcached

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
memcached_amount_instances	Nao declarado	1	Quantidade de instancias Memcached criadas por oci_core_instance.memcached-instance.
memcached_prefix_hostname	Nao declarado	memcached-server	Prefixo do nome das instancias Memcached.
memcached_shape	Nao declarado	VM.Standard.E4.Flex	Shape das instancias Memcached.
memcached_amount_memory	Nao declarado	2	Memoria em GB das instancias Memcached.
memcached_amount_ocpus	Nao declarado	1	OCPUs das instancias Memcached.

Instancias JodServer

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
jod_amount_instances	Nao declarado	1	Quantidade de instancias JodServer criadas por oci_core_instance.jod-instance.
jod_prefix_hostname	Nao declarado	jod-server	Prefixo do nome das instancias JodServer.
jod_shape	Nao declarado	VM.Standard.E4.Flex	Shape das instancias JodServer.
jod_amount_memory	Nao declarado	2	Memoria em GB das instancias JodServer.
jod_amount_ocpus	Nao declarado	1	OCPUs das instancias JodServer.

Load balancer

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
load_balancer_prefix_hostname	Nao declarado	sei-load-balancer	Prefixo do nome do load balancer publico.
load_balancer_maximum_bandwidth_in_mbps	Nao declarado	100	Banda maxima do load balancer flexivel, em Mbps.
load_balancer_minimum_bandwidth_in_mbps	Nao declarado	10	Banda minima do load balancer flexivel, em Mbps.

FSS / NFS

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
fss_backup	Nao declarado	false em terraform.tfvars	Habilita a politica de snapshot diario do File Storage. No codigo raiz e usado como booleano em var.fss_backup ? ... : ....
sei_nfs_name	string	nfs-sei	Nome do FSS/NFS para o SEI. Declarado em variables_sei_nfs.tf; nao ha uso direto identificado nos arquivos raiz atuais.
sei_mount_target_ip_address	string	10.191.228.100	IP planejado para o mount target. Declarado em variables_sei_nfs.tf; nao ha uso direto identificado nos arquivos raiz atuais.

WAF e backups

Variavel	Tipo declarado	Valor em terraform.tfvars / default	Descricao
enable_waf	Nao declarado	false	Habilita a criacao da politica WAF, Web App Firewall, associacao ao load balancer e log WAF. No codigo e usado como booleano.
enable_boot_volume_backup	Nao declarado	false	Habilita a politica de backup dos boot volumes. No codigo e comparado como string: var.enable_boot_volume_backup == "true".

Regras de rede resumidas

NSG	Direcao	Origem/Destino	Portas	Objetivo
Load balancer publico	Ingress	cidr_anywhere	80, 443	Entrada publica HTTP/HTTPS.
Load balancer publico	Ingress	cidr_subnet_app	8983	Entrada SOLR a partir da subnet de aplicacao.
SEI servers	Ingress	cidr_subnet_web	80, 443, 8983	Entrada vinda da camada web/load balancer.
SEI servers	Egress	cidr_subnet_database	3306, 33060	Acesso MySQL/MySQL HeatWave.
SEI servers	Egress	cidr_subnet_app	8983, 11211, 8080	Acesso a SOLR, Memcached e JodServer.
SIP servers	Ingress	cidr_subnet_web	80, 443, 8983	Entrada vinda da camada web/load balancer.
SIP servers	Egress	cidr_subnet_database	3306, 33060	Acesso MySQL/MySQL HeatWave.
SIP servers	Egress	cidr_subnet_app	8983, 11211	Acesso a SOLR e Memcached.
SOLR servers	Ingress	cidr_subnet_web, cidr_subnet_app	8983	Trafego SOLR.
SOLR servers	Egress	cidr_subnet_app	11211	Acesso Memcached.
Memcached servers	Ingress	cidr_subnet_app	11211	Trafego Memcached.
JodServer	Ingress	cidr_subnet_app	8080	Trafego JodServer.
Database	Ingress	cidr_subnet_app	3306, 33060	Trafego MySQL/MySQL HeatWave.