AWS Multi-Tier · Terraform · Infrastructure as Code

Kontext & Motivation

Manuelle AWS-Deployments sind fehleranfällig, nicht reproduzierbar und nicht skalierbar. Infrastructure as Code mit Terraform ist der industrielle Standard — jede Änderung ist versioniert, jedes Deployment reproduzierbar, jedes Team-Mitglied arbeitet am gleichen State.

Ziel dieses Projekts war es, eine vollständige, realistische Cloud-Infrastruktur auf AWS zu entwerfen und mit Terraform zu automatisieren — von der Netzwerksegmentierung bis zum Deployment einer lauffähigen Java-Webanwendung.

1 — Architekturübersicht

Die Infrastruktur folgt einer klassischen Multi-Tier-Architektur mit klarer Netzwerksegmentierung:

Request Flow — End-to-End

2 — Terraform Workflow

Alle Ressourcen werden ausschließlich über Terraform erstellt — kein manuelles Klicken in der AWS Console.

S3 Remote Backend

terraform {
  backend "s3" {
    bucket         = "terraformstate-profile"
    key            = "terraform/backend"
    region         = "us-east-1"
    encrypt        = true
  }
}

Terraform Outputs

output "rds_endpoint"   { value = aws_db_instance.profile-rds.address }
output "cache_endpoint" { value = aws_elasticache_cluster.profile-cache.cache_nodes[0].address }
output "mq_endpoint"    { value = aws_mq_broker.profile-rmq.instances[0].endpoints[0] }

3 — Implementierungsschritte

3.1 Key Pair & SSH

ssh-keygen -f profilekey

3.2 VPC Module

module "vpc" {
  source          = "terraform-aws-modules/vpc/aws"
  name            = var.VPC_NAME
  cidr            = var.VpcCIDR
  azs             = [var.Zone1, var.Zone2, var.Zone3]
  public_subnets  = [var.PubSub1CIDR, var.PubSub2CIDR, var.PubSub3CIDR]
  private_subnets = [var.PrivSub1CIDR, var.PrivSub2CIDR, var.PrivSub3CIDR]
  enable_nat_gateway      = true
  single_nat_gateway      = true
  enable_dns_support      = true
  enable_dns_hostnames    = true
  map_public_ip_on_launch = true
}

3.3 Security Groups

4 Security Groups nach Least-Privilege-Prinzip — SG-zu-SG Regeln statt offene IP-Ranges:

3.4 Backend Services (RDS, ElastiCache, Amazon MQ)

resource "aws_db_instance" "profile-rds" {
  engine               = "mysql"
  engine_version       = "8.0.39"
  instance_class       = "db.t4g.micro"
  publicly_accessible  = "false"
  db_subnet_group_name = aws_db_subnet_group.profile-rds-subgrp.name
  vpc_security_group_ids = [aws_security_group.profile-backend-sg.id]
}

3.5 Elastic Beanstalk Environment

resource "aws_elastic_beanstalk_environment" "profile-env" {
  name                = "profile-prod-env"
  application         = aws_elastic_beanstalk_application.profile-app.name
  solution_stack_name = "64bit Amazon Linux 2 v5.8.4 running Tomcat 9 Corretto 17"
  setting { namespace = "aws:ec2:vpc" name = "VPCId"      value = module.vpc.vpc_id }
  setting { namespace = "aws:ec2:vpc" name = "Subnets"    value = join(",", module.vpc.private_subnets) }
  setting { namespace = "aws:ec2:vpc" name = "ELBSubnets" value = join(",", module.vpc.public_subnets) }
}

3.6 Bastion Host & DB Initialisierung

Terraform Provisioner kopiert und führt das DB-Init Script automatisch via SSH auf dem Bastion Host aus:

provisioner "file" {
  content = templatefile("templates/db-deploy.tmpl", {
    rds-endpoint = aws_db_instance.profile-rds.address,
    dbuser       = var.dbuser,
    dbpass       = var.dbpass
  })
  destination = "/tmp/profile-dbdeploy.sh"
}
provisioner "remote-exec" {
  inline = ["chmod +x /tmp/profile-dbdeploy.sh", "sudo /tmp/profile-dbdeploy.sh"]
}

4.7 Artifact Deployment

mvn clean install

4 — Zusammenfassung

Skills

5 — Ausblick

• 1
  CI/CD Integration
  Automatisches terraform plan bei Pull Requests und terraform apply bei Merge — Infrastruktur-Änderungen wie Code behandeln.
• 2
  Terraform Modules
  Wiederverwendbare Module für VPC, Security Groups und Backend Services — reduziert Duplikation bei Multi-Environment Deployments (Dev/Staging/Prod).
• 3
  Multi-AZ RDS & High Availability
  Aktivierung von multi_az = true für RDS und mehrere Beanstalk-Instanzen — Produktionsreife Hochverfügbarkeit.
• 4
  AWS WAF & CloudFront
  Web Application Firewall vor dem Load Balancer und CloudFront CDN für Performance und DDoS-Schutz.