Spacelift против Terraform Enterprise: сравнение возможностей и цен

Если вы когда-либо запускали Terraform Enterprise (TFE), вы уже знаете, что это набор воркспейсов, приватный реестр модулей, несколько политик Sentinel и ежеквартальные обновления, под которые приходится подстраивать график.

Однако ситуация начала меняться после того, как HashiCorp стала частью IBM. Способ развертывания Replicated, который вы, вероятно, устанавливали, был упразднен, выпуски сменились с ежемесячных на квартальные, а ваш стек мог вырасти и включить в себя OpenTofu, Ansible или несколько проектов Pulumi, с которыми TFE работать не умеет.

В такой ситуации вы, вероятно, начнете искать другую опцию. Spacelift может стать хорошей заменой, так как он решает ту же базовую проблему (безопасный запуск IaC с защитными механизмами и журналом аудита) с другого ракурса.

В этой статье мы рассмотрим, что такое Terraform Enterprise и Spacelift, сравним их возможности функция за функцией, изучим процесс миграции и дадим прямой ответ на вопрос, какое решение лучше подходит для определенной команды.

Terraform Enterprise (TFE) — это дистрибутив HCP Terraform с самостоятельным размещением от HashiCorp, построенный вокруг рабочего процесса Terraform, в то время как Spacelift управляет несколькими инструментами инфраструктуры как код (IaC) из единой плоскости управления.

• Terraform Enterprise запускает только Terraform, размещается самостоятельно на Docker, Kubernetes, OpenShift, Podman или Nomad и обеспечивает управление с помощью Sentinel или Open Policy Agent (OPA).
• Spacelift запускает Terraform, OpenTofu, Terragrunt, Pulumi, CloudFormation, Kubernetes и Ansible, используя управляемые или приватные воркеры, а ценообразование основано на уровне тарифного плана и емкости воркеров, а не на количестве управляемых ресурсов (RUM).

Выбирайте Terraform Enterprise для инфраструктуры, использующей исключительно Terraform, особенно при наличии большой библиотеки Sentinel, которую не хочется переписывать. Выбирайте Spacelift для сред с использованием множества инструментов, привязки стоимости не к количеству ресурсов или при наличии цепочек зависимостей между инструментами, например, когда стек OpenTofu передает данные в стек Ansible.

Terraform Enterprise — это дистрибутив HCP Terraform с самостоятельным размещением. Он работает на вашей инфраструктуре, а не на инфраструктуре HashiCorp, из-за чего его в основном и покупают. TFE — это ответ HashiCorp для команд, работающих в регулируемых средах, или для случаев, когда вашей службе безопасности необходимо убедиться, что данные не покидают сеть.

Используя TFE, вы получаете:

• Воркспейсы в качестве единицы выполнения. Они сопоставлены с конфигурацией Terraform, имеющей собственные состояние, переменные и историю запусков.
• Приватный реестр для ваших внутренних модулей и провайдеров.
• Политику как код с использованием Sentinel или OPA, привязанную к воркспейсам в виде наборов политик. Они работают на этапе настройки, планирования и применения.
• Удаленное управление состоянием с блокировкой, а также удаленное планирование и применение.
• RBAC, SSO и ведение журнала аудита для соблюдения требований безопасности.
• Задачи выполнения (run tasks) для вызова внешних служб (сканеров безопасности, инструментов оценки стоимости) в определенные моменты выполнения (интегрировать можно только эти службы).
• Бескодовую подготовку инфраструктуры (no-code provisioning), когда вы публикуете модуль, а другие команды развертывают его через форму вместо написания HCL.
• Terraform Stacks (добавлены в TFE 2.0), которые объединяют конфигурации Terraform в компоненты, передающие друг другу выходные данные и развертываемые по средам как единое целое.

Теперь TFE развертывается на Docker, Podman, Kubernetes, OpenShift и Nomad. Старая установка Replicated ушла в прошлое (последний выпуск состоялся в марте 2025 года), поэтому, если вы все еще используете ее, вам нужно выполнить миграцию.

TFE также изменил подход к версионированию. Последним релизом на основе даты стал v202507-1 в июле 2025 года. С августа 2025 года система перешла на семантическое версионирование, начиная с версии 1.0.0, а текущая документация соответствует версии 2.0.x. Основные релизы выпускаются ежеквартально, а в промежутках между ними выходят ежемесячные исправления.

TFE запускает только Terraform, что является ограничением. Если ваша организация перешла на OpenTofu после изменения лицензии или у вас есть проект Pulumi от команды, предпочитающей TypeScript, ничего из этого не работает в TFE. TFE также не поможет вам с оркестрацией контейнеров или управлением конфигурацией. В итоге вам понадобятся другие продукты для управления этими инструментами.

Spacelift — это платформа оркестрации инфраструктуры, которая поддерживает OpenTofu, Terraform, Terragrunt, Pulumi, CloudFormation, Ansible и Kubernetes. Она позволяет командам DevOps подготавливать, настраивать и контролировать инфраструктуру из единой плоскости управления.

Spacelift использует стеки вместо воркспейсов. Они имеют иерархическую структуру, что позволяет правильно моделировать команды и среды и наследовать права доступа вниз по дереву.

Используя Spacelift, вы получаете:

• Политику как код на базе OPA для принятия решений на разных этапах: вы можете контролировать, какие ресурсы могут создавать ваши инженеры и какие у них параметры, сколько одобрений требуется для запуска, что происходит при открытии или слиянии пулл-реквеста, а также куда отправлять уведомления.
• Зависимости стеков позволяют создавать связи между конфигурациями и даже делиться выходными данными. Это направленные ацикличные графы (DAG), что означает возможность создания любого количества вложенных уровней зависимостей. Самое приятное то, что вы можете создавать зависимости между конфигурациями, использующими разные инструменты (например, родительский стек OpenTofu с зависимостью от дочернего Ansible).
• Контексты — это логические контейнеры для переменных среды, монтируемых файлов и хуков жизненного цикла, которые могут многократно использоваться любым количеством стеков, либо явно, либо автоматически по меткам. Таким образом, в данном случае ваши переменные среды и проверка безопасности перед планированием находятся в одном месте, а не копируются в сорок стеков.
• Пуллы воркеров используются стеками для выполнения вашего рабочего процесса. Это либо управляемые Spacelift публичные воркеры, либо приватные воркеры в вашей собственной инфраструктуре, поэтому учетные данные и состояние никогда не покидают периметр вашей сети.
• Обнаружение дрифта можно запланировать для выявления изменений, внесенных вне ваших процессов IaC (например, через ClickOps или скрипты), а также вы получаете встроенные средства исправления.
• Чертежи (blueprints) — это шаблоны YAML для вашых стеков, которые помогают обеспечить самостоятельное обслуживание инфраструктуры. Они интегрируются нативно с ServiceNow и Backstage, чтобы соответствовать рабочим процессам ваших разработчиков.
• Облачные интеграции обеспечивают динамические учетные данные для AWS, Azure и Google Cloud вместо статических. Это означает, что если ваши учетные данные будут перехвачены, они окажутся бесполезными из-за их кратковременности.
• Spacelift Intelligence — это уровень ИИ с помощником Infra Assistant для вопросов о ваших актуальных развертываниях и функцией Intent для подготовки инфраструктуры на естественном языке, которая по-прежнему работает в рамках тех же политик и учетных данных.

Это сравнение основано на общедоступной документации, материалах о продуктах и практическом опыте работы с обеими платформами. Spacelift является издателем этой статьи и одной из сравниваемых платформ, поэтому воспринимайте описания от Spacelift как собственное описание вендора, а текущие возможности Terraform Enterprise сверяйте с документацией HashiCorp. Возможности обеих платформ часто меняются.

Давайте посмотрим, как соотносятся эти платформы.

1. Поддержка инструментов IaC

TFE поддерживает только Terraform.

Spacelift запускает OpenTofu, Terraform, Terragrunt, Pulumi, CloudFormation, Ansible и Kubernetes на одной платформе с применением единых политик, единого RBAC и единого журнала аудита для всех из них. Это главное отличие между двумя платформами, и именно из-за него начинаются большинство разговоров о миграции.

2. Политика как код

TFE предлагает Sentinel, собственный язык HashiCorp, или OPA, которые настраиваются для рабочих пространств в виде наборов политик.

С другой стороны, Spacelift использует исключительно OPA повсеместно, а точки принятия решений охватывают гораздо больше сценариев. Вы можете контролировать то, что происходит при открытии или слиянии пулл-реквеста, требовать два или более одобрения от конкретных команд для продакшна, настраивать маршрутизацию уведомлений на основе внесенных изменений, а также управлять тем, какие виды ресурсов могут создавать ваши инженеры или какими параметрами эти ресурсы обладают.

3. Оркестрация рабочих процессов

TFE 2.0 added Terraform Stacks. Компоненты внутри Stack передают выходные данные друг другу, а связанные Stacks обмениваются значениями через блоки publish_output и upstream_input, запуская выполнение зависимых задач вниз по цепочке при изменении выходных данных вышестоящих компонентов. Для инфраструктуры, использующей только Terraform, это заменяет большую часть триггеров запуска удаленного состояния, которые раньше приходилось настраивать вручную.

Подводный камень заключается в том, что Stacks ограничены рамками Terraform. Stack не может зависеть от выполнения задач OpenTofu, Ansible, Pulumi или CloudFormation, связанные Stacks должны находиться в одном и том же проекте, а Stacks в TFE требуют наличия лицензии RUM.

Зависимости стеков в Spacelift работают со всеми инструментами, которые запускает Spacelift. Стеки OpenTofu подготавливают ваши виртуальные машины и передают их IP-адреса напрямую в стек Ansible, который их настраивает, а любой стек, генерирующий выходные данные, может передавать их любому другому стеку, включая Ansible и Kubernetes. Один граф зависимостей, никакой связующей логики между инструментами.

4. Выполнение и воркеры

И TFE (агенты), и Spacelift (пулы частных воркеров) предоставляют управляемое выполнение, а также опцию самостоятельного хостинга. Spacelift позволяет использовать собственный образ раннера, поэтому если для ваших задач требуются kubectl, aws-cli, helm или внутренний бинарный файл, вы можете запечь его в образ, а не бороться с окружением.

5. Самообслуживание

Интерфейс no-code провижининга в TFE работает, но он также привязан к модулям Terraform и фиксированному рабочему процессу.

Spacelift предлагает Blueprints — шаблоны YAML, которые разворачивают стек для любого вспомогательного инструмента с заранее привязанными политиками. Кроме того, Spacelift предоставляет Templates, которые гарантируют неизменяемость созданных на их основе стеков. К тому же, если добавить поверх Intent, разработчики смогут описывать желаемое на обычном языке, оставаясь при этом в рамках установленных вами ограничений.

6. Модель ценообразования

HCP Terraform и Terraform Enterprise выставляют счета на основе ресурсов под управлением (Resources Under Management, RUM). Это означает, что учитывается каждый управляемый ресурс, включая экземпляры EC2, правила групп безопасности, политики IAM и корзины S3.

Для публичной версии HCP Terraform цены составляют около $0.10 за ресурс в месяц, для тарифа Essentials — $0.47 за Standard и $0.99 за Premium, при этом расчет ведется по почасовому пиковому использованию. TFE является кастомной корпоративной лицензией, и HashiCorp обычно предоставляет эти цены по индивидуальным запросам.

Проблема здесь заключается в том, что ваш счет растет каждый раз, когда кто-то добавляет новый ресурс, новые политики IAM и т. д. Стеки в TFE также требуют лицензирования RUM.

Spacelift выставляет счета в зависимости от тарифного плана и емкости воркеров, без платы за каждый отдельный ресурс. Бесплатный тариф охватывает двух пользователей, Starter начинается от $399 в месяц для 10 пользователей, а планы Business и Enterprise предоставляются по запросу и включают неограниченное число пользователей, а также публичные или частные воркеры. Ознакомьтесь со страницей цен, чтобы узнать, что входит в каждый тарифный план.

Сводная таблица

В таблице ниже кратко описаны различия между Terraform Enterprise и Spacelift.

Если вы хотите мигрировать с Terraform Enterprise на Spacelift, хорошая новость заключается в том, что вам не придется делать это в одиночку. Spacelift поставляет liftoff — набор для миграции, распространяемый в виде единого статически скомпилированного бинарного файла, который берет на себя основную часть работы.

Процесс прост: вам нужно указать путь к вашему экземпляру TFE. Инструмент выполняет операцию обнаружения в режиме только чтения, которая переносит всю вашу инфраструктуру в локальное хранилище, после чего вы разбиваете юниты на управляемые группы, проверяете найденное, генерируете конфигурацию, публикуете ее в Spacelift как административный стек, выполняете мутацию для добавления секретов и завершаете процесс.

Подтверждение публикации выглядит следующим образом:

Прежде чем начать миграцию, подготовьте следующее:

• Учетную запись Spacelift с ключом API, имеющим права администратора корневого пространства.
• Токен администратора TFE.
• Интеграцию с VCS, имеющую доступ к вашим репозиториям, а также токен VCS, если вы используете частные модули.
• По крайней мере один доступный воркер Spacelift.

Вот две вещи, которые вам необходимо спланировать заранее:

• Чувствительные переменные требуют отдельного этапа захвата: TFE маскирует чувствительные значения, поэтому этап обнаружения переносит их пустыми. Команда liftoff mutate --allow-mutation secrets временно переводит каждое рабочее пространство в режим выполнения с помощью агента для их чтения, после чего восстанавливает его настройки, а liftoff finalize sensitive передает эти значения в Spacelift.
• Политики Sentinel не переносятся автоматически: Spacelift не поддерживает Sentinel, так как это проприетарная разработка HashiCorp, поэтому если у вас есть большая библиотека Sentinel, ее придется переписать на Rego. Большинство политик представляют собой простые проверки атрибутов ресурсов, поэтому это не так сложно, как звучит, но не планируйте переход в расчете на то, что это произойдет само собой. Если вы уже используете OPA в TFE, вы сохраняете язык, ментальную модель и свои навыки Rego, полностью пропуская этап переписывания Sentinel.

Посмотрите, как выглядит миграция с HCP Terraform на Spacelift с помощью ИИ-помощника:

Вам стоит остаться на Terraform Enterprise, если вся ваша инфраструктура построена на Terraform и вы планируете сохранить это в будущем, у вас есть значительные инвестиции в Sentinel, которые вы не хотите переписывать, а ваши отношения с IBM позволяют получить такие цены, при которых модель RUM остается приемлемой.

Выбирайте Spacelift, если вы используете или планируете использовать более одного инструмента IaC, хотите отвязать затраты от количества ресурсов, нуждаетесь в реальных цепочках зависимостей между уровнями инфраструктуры, хотите организовать самообслуживание без самостоятельной разработки портала или предпочитаете управляемый SaaS с частными воркерами для облегчения операционной работы без риска утечки данных.

Terraform Enterprise — надежная платформа для Terraform, однако переход к IBM замедлил выпуск релизов и заставил пользователей, использующих модель развертывания Replicated, мигрировать на новый метод развертывания.

Spacelift предоставляет ту же основу для управления и добавляет поддержку нескольких инструментов IaC, иерархические пространства, зависимости стеков, работающие со всеми запускаемыми им инструментами, а также более широкие точки принятия решений для политик. Что касается ценообразования, биллинг RUM масштабируется вместе с вашей инфраструктурой. Модель тарифов и воркеров Spacelift масштабируется в соответствии с вашими потребностями в параллелизме.

Миграция с TFE на Spacelift — это серьезный проект, но использование liftoff избавит вас от множества ручных операций. Вам следует запланировать перенос секретов и переписывание политик Sentinel, а также выполнять работы поэтапно. Если вы хотите узнать, как Spacelift может помочь вам в миграции с TFE, запишитесь на демонстрацию с одним из наших инженеров.

Часто задаваемые вопросы

• Поддерживает ли Spacelift политики Sentinel? Нет. Spacelift использует Open Policy Agent (OPA) и Rego для всех типов политик, поэтому библиотеку Sentinel необходимо переписать перед переходом. Большинство политик Sentinel представляют собой проверку атрибутов планируемых ресурсов, и они напрямую отображаются на Rego.

Поддерживает ли Spacelift политики Sentinel?

Нет. Spacelift использует Open Policy Agent (OPA) и Rego для всех типов политик, поэтому библиотеку Sentinel необходимо переписать перед переходом. Большинство политик Sentinel представляют собой проверку атрибутов планируемых ресурсов, и они напрямую отображаются на Rego.

• Может ли Terraform Enterprise управлять OpenTofu, Pulumi или CloudFormation? Нет. Terraform Enterprise работает только с Terraform, поэтому для управления всем, что написано на OpenTofu, Pulumi, CloudFormation или Ansible, потребуется вторая платформа.

Может ли Terraform Enterprise управлять OpenTofu, Pulumi или CloudFormation?

Нет. Terraform Enterprise работает только с Terraform, поэтому для управления всем, что написано на OpenTofu, Pulumi, CloudFormation или Ansible, потребуется вторая платформа.

• Чем отличается применение политик в Spacelift и Terraform Enterprise? TFE привязывает наборы политик к рабочим пространствам и проверяет план Terraform на их соответствие во время каждого запуска. Spacelift оценивает политики OPA в большем количестве точек принятия решений, охватывая то, что планируется и применяется, что запускает push или pull request, сколько одобрений требуется для запуска, кто имеет доступ к стеку и куда отправляются уведомления.

Чем отличается применение политик в Spacelift и Terraform Enterprise?

TFE привязывает наборы политик к рабочим пространствам и проверяет план Terraform на их соответствие во время каждого запуска. Spacelift оценивает политики OPA в большем количестве точек принятия решений, охватывая то, что планируется и применяется, что запускает push или pull request, сколько одобрений требуется для запуска, кто имеет доступ к стеку и куда отправляются уведомления.

• Могу ли я перейти с Terraform Enterprise на Spacelift? Да. Бинарный файл liftoff выполняет проход обнаружения в режиме только для чтения по вашему экземпляру TFE, создает конфигурацию стека и публикует ее в Spacelift как административный стек. Планируйте установку конфиденциальных переменных вручную и переписывание политик Sentinel на Rego, так как ни то, ни другое не переносится автоматически.

Могу ли я перейти с Terraform Enterprise на Spacelift?

Да. Бинарный файл liftoff выполняет проход обнаружения в режиме только для чтения по вашему экземпляру TFE, создает конфигурацию стека и публикует ее в Spacelift как административный стек. Планируйте установку конфиденциальных переменных вручную и переписывание политик Sentinel на Rego, так как ни то, ни другое не переносится автоматически.