Atlantis 0.49.0 แก้ 12 Security Advisories และเลิกแถม Terraform ใน Docker Image: เตรียมอัปเกรดอย่างไร

Atlantis ประกาศ v0.49.0 เมื่อ 25 ตุลาคม 2026 โดยจัดเป็น breaking release ที่ผู้ดูแลระบบ Terraform ผ่าน Pull Request ควรวางแผนอัปเกรดโดยเฉพาะ ชุดนี้ระบุว่าแก้ security advisories 12 รายการ และ Docker image ไม่รวม Terraform หรือ OpenTofu มาให้อีกต่อไป การเปลี่ยน image โดยใช้ค่าเดิมทั้งหมดจึงอาจทำให้บริการเริ่มงานไม่ได้ แม้ตัว Atlantis จะติดตั้งสำเร็จแล้ว

เริ่มจากแยกเวอร์ชันบริการกับเวอร์ชันเครื่องมือ

ผู้ใช้ image ทางการต้องกำหนด default Terraform version เพื่อให้ดาวน์โหลด binary หรือจัดเตรียม binary เอง สำหรับ OpenTofu ต้องกำหนด distribution ให้ตรงด้วย ในระบบที่ปิดการดาวน์โหลดออกอินเทอร์เน็ต ควรเตรียม image หรือ mount ที่มีเครื่องมือพร้อมไว้ล่วงหน้า ไม่ควรพบปัญหานี้ครั้งแรกระหว่างช่วงเปลี่ยนระบบจริง

มุมที่ควรตรวจเพิ่มคือการตรึงรุ่นในแต่ละ repository กับค่ากลางของเซิร์ฟเวอร์ ทีมอาจมีหลายโครงการที่ใช้ provider และ state backend ต่างกัน จึงควรบันทึกตารางว่าโครงการใดใช้เครื่องมือรุ่นใด พร้อมเก็บ digest ของ image ที่ผ่านการตรวจแล้ว การมีเลขรุ่น Atlantis เพียงค่าเดียวไม่เพียงพอให้ทำซ้ำสภาพแวดล้อมเดิมได้

แพตช์เปลี่ยนขอบเขตความเชื่อถือของ Automation

ประกาศยกระดับการตรวจ clone URL host, workflow ที่อนุญาต และเส้นทางโครงการ รวมถึงผูก plan ที่สร้างใหม่กับ hash เพื่อปฏิเสธไฟล์ที่ถูกเปลี่ยนก่อน apply สิ่งเหล่านี้สะท้อนว่าเส้นทางจาก webhook ไปถึงโค้ด Terraform ต้องมีการตรวจหลายชั้น การตั้ง allowlist ชื่อ repository อย่างเดียวไม่ควรถูกตีความว่าเป็นหลักฐานยืนยันต้นทางของทุกข้อมูลในคำขอ

สำหรับทีม GitOps ผลที่ต้องเตรียมรับคือ configuration เดิมบางแบบอาจถูกปฏิเสธหลังอัปเกรด ควรทดลองกับสำเนาการตั้งค่าที่ควบคุมได้ แล้วแยกว่าเป็นงานที่เคยพึ่งพาพฤติกรรมที่ไม่ปลอดภัย หรือเป็นค่าที่ต้องแก้ให้ตรงรูปแบบใหม่ อย่าแก้โดยขยาย allowlist ทั้งระบบทันทีเพียงเพื่อให้ pipeline กลับมาเป็นสีเขียว

ซ้อม Plan และ Apply ให้ครบวงจร

ก่อนเปลี่ยน production ให้สำรองการตั้งค่าและข้อมูลที่จำเป็นตามกระบวนการเดิม เลือก repository ทดสอบที่ไม่มีทรัพยากรสำคัญ ตรวจการรับ webhook การสร้าง plan การอนุมัติ และการเรียก apply ตามนโยบายทีม หาก plan เก่าถูกสร้างด้วยเวอร์ชันก่อนหน้า ควรสร้างใหม่ภายใต้ระบบที่อัปเดตแล้วแทนการคาดหวังว่าจะใช้ต่อได้ทุกกรณี

ควรทดสอบเส้นทางผิดพลาดด้วยข้อมูลจำลอง เช่น workflow ที่อ้างชื่อไม่ถูกต้อง หรือคำสั่งที่ใช้ argument แบบที่ทีมเคยใช้ แล้วตรวจว่าข้อความตอบกลับช่วยให้ผู้ใช้แก้ไขได้โดยไม่เปิดเผย credential การตรวจเฉพาะกรณีสำเร็จจะพลาดปัญหาที่เกิดจริงเมื่อผู้พัฒนาส่งคำสั่งไม่ครบหรือเมื่อ provider ติดต่อปลายทางไม่ได้

ตรวจ Secret และสิทธิ์หลังอัปเกรดด้วย

การติดตั้งรุ่นใหม่ไม่ย้อนลบข้อมูลที่เคยออกไปอยู่ใน log หรือความคิดเห็นของ PR หากทีมสงสัยว่า workflow เคยพิมพ์ข้อมูลลับ ควรตรวจประวัติผ่านสิทธิ์ที่เหมาะสมและหมุน credential ตามหลักฐาน ไม่ควรสรุปว่ามีข้อมูลรั่วจากเลขรุ่นอย่างเดียว เช่นเดียวกัน ข่าวรีลีสนี้ไม่ได้เป็นหลักฐานว่าระบบของผู้อ่านถูกโจมตีแล้ว

หลังเปิดใช้งาน ให้ติดตามคำขอที่ถูกปฏิเสธและงานที่ค้างระหว่าง plan กับ apply พร้อมบันทึกเหตุผลที่เปลี่ยน policy ทุกครั้ง จุดจบของการอัปเกรดควรเป็นระบบที่ตรวจสอบสิทธิ์ได้และยังทำงานตามขั้นตอนของทีม ไม่ใช่เพียง container ที่มีสถานะ running

แหล่งต้นทาง: Atlantis v0.49.0 release notes ประกาศวันที่ 25 ตุลาคม 2026