테라폼 운영 강좌 #6 실행 플랫폼 비교: 순수 CI, HCP Terraform, Atlantis, Spacelift
#1부터 #4까지 만든 것을 돌아보면, PR plan 코멘트, apply 자동화, 동시성 제어, 스캔, 비용 표시까지 전부 GitHub Actions 위에 직접 조립했습니다. 이 조립품을 상품으로 파는 영역이 있습니다. 테라폼 실행 플랫폼입니다. 이번 편은 “우리가 만든 것 vs 사서 쓰는 것"의 비교이고, 결론부터 말하면 많은 팀에게 직접 조립이 충분하며, 플랫폼은 특정 고통이 실재할 때 사는 것입니다. 그 고통이 무엇인지가 이번 편의 내용입니다.
직접 조립(순수 CI)의 한계선 #
GitHub Actions 방식의 강점은 명확합니다. 추가 비용이 없고, 이미 아는 도구이고, 전부 우리 통제 아래에 있습니다. 약점은 팀이 커지며 드러납니다.
- 실행 이력이 로그 더미입니다: “지난주 prod에 뭐가 적용됐지"의 답이 Actions 로그 검색입니다. 스택이 늘면 전체 현황을 한눈에 볼 화면이 없습니다.
- 권한 모델이 거칩니다: “이 팀은 이 스택만 apply” 같은 세밀한 통제를 GitHub 권한과 IAM 조합으로 직접 짜야 합니다.
- 정책이 코드 리뷰에 의존합니다: “프로덕션 리소스에 태그 필수”, “특정 리전 금지” 같은 규칙을 스캐너 룰과 리뷰어의 눈으로 막는 데는 한계가 있습니다.
- 조립 자체가 유지보수 대상입니다: plan 코멘트 스크립트, 동시성, 스캔 연동 전부가 우리가 고쳐야 할 코드입니다.
관리형: HCP Terraform #
HashiCorp의 관리형 플랫폼입니다(Terraform Cloud라는 옛 이름으로 더 유명하고, 셀프호스트판이 Terraform Enterprise입니다). 원격 실행과 state 저장, PR 연동, 실행 이력 UI, RBAC를 기본으로 주고, 차별점은 Sentinel 정책 코드화입니다. “인스턴스 타입은 이 목록만”, “금요일 오후 apply 금지” 같은 규칙을 정책 코드로 강제할 수 있습니다. state 저장소를 겸하므로 기초 #9의 S3 백엔드 구성 자체가 필요 없어지는 것도 특징입니다. 무료 티어가 있어 소규모는 무료로 시작할 수 있고, 유료 구간은 리소스 수 기반 과금입니다. 구체 요금과 티어 경계는 변동이 잦으니 도입 시점에 공식 페이지에서 확인하는 것을 전제로 하고, 평가 관점은 “정책·RBAC·이력 UI에 그 값을 낼 것인가"로 잡으면 됩니다.
셀프호스트 OSS: Atlantis #
Atlantis는 PR 코멘트로 테라폼을 조작하는 오픈 소스 서버입니다. PR에 atlantis plan, atlantis apply를 코멘트로 달면 서버가 실행해 결과를 코멘트로 답합니다. 우리가 #1에서 만든 워크플로의 완성형을 설치형으로 주는 셈입니다. 무료이고 데이터가 우리 인프라 밖으로 안 나가는 대신, Atlantis 서버 자체가 강한 권한을 가진 운영 대상 인프라가 됩니다. 외부 SaaS에 자격 증명을 맡길 수 없는 조직에서 특히 선호됩니다.
상용 전문 플랫폼: Spacelift 계열 #
Spacelift, env0 같은 상용 플랫폼은 HCP Terraform과 같은 영역을 노리면서 멀티 도구 지원(테라폼과 OpenTofu는 물론 Pulumi, Ansible까지), OPA 기반 정책, 유연한 워크플로를 차별점으로 내세웁니다. 스택 수십 개 이상의 조직에서 HCP Terraform과 나란히 견적을 받는 후보군이라고 보면 됩니다.
선택 기준 #
| 상황 | 무난한 선택 |
|---|---|
| 스택 몇 개, 소규모 팀 | 순수 CI(이 시리즈의 구성) |
| 자격 증명을 외부에 못 맡기는 조직 | Atlantis |
| 정책 강제·RBAC·이력 UI가 필요해진 규모 | HCP Terraform 또는 Spacelift 계열 견적 비교 |
| OpenTofu 채택 또는 멀티 도구 조직 | Spacelift 계열 |
판단 축은 결국 #5와 같습니다. 고통이 실재하는가입니다. 실행 이력을 찾느라 로그를 뒤지는 시간, 권한 사고의 위험, 정책 위반이 리뷰를 뚫는 빈도가 체감되기 시작하면 플랫폼 견적을 받을 때이고, 그 전이라면 직접 조립한 워크플로가 가장 싸고 투명한 답입니다. 참고로 표에 OpenTofu가 등장했는데, 어떤 도구를 실행할 것인가 자체가 선택이 된 시대적 배경은 다음 편에서 정리합니다.
정리 #
이번 글에서 다룬 내용입니다.
- 순수 CI 조립의 한계는 실행 이력 시각화, 세밀한 권한, 정책 강제, 조립품 유지보수의 네 가지입니다
- HCP Terraform은 원격 실행·state 저장·Sentinel 정책을 주는 관리형이며, 요금은 리소스 수 기반이라 도입 시점 확인이 필요합니다
- Atlantis는 PR 코멘트 구동의 셀프호스트 OSS로, 자격 증명을 밖에 못 내보내는 조직의 답입니다
- Spacelift 계열 상용은 멀티 도구와 OPA 정책이 차별점입니다
- 선택 기준은 도구가 아니라 고통의 실재입니다. 체감되기 전에는 순수 CI가 가장 싸고 투명합니다
다음 글(#7 OpenTofu와 라이선스)은 트랙의 마지막 편입니다. BSL 전환과 포크의 경위, IBM 인수 이후의 지형, 그리고 테라폼과 OpenTofu 중 무엇을 쓸 것인가의 판단 기준을 정리하며 시리즈를 마무리하겠습니다.