Goss vs InSpec: サーバーとインフラのテスト比較
CI での高速で軽量な YAML ベースのサーバーおよびコンテナ検証には Goss を、再利用可能なプロファイル、リモートスキャン、詳細な監査レポートを備えたリッチな compliance-as-code が必要なら InSpec を選びましょう。
Goss と InSpec はどちらもサーバーやコンテナが期待される状態（パッケージ、ポート、サービス、ファイル、プロセス）にあることを検証しますが、重さが異なります。Goss は YAML で定義されたチェックを非常に高速に実行する小さな単一バイナリのツールで、イメージやコンテナの検証に最適です。InSpec（Chef エコシステム由来）は、Ruby ベースの DSL、再利用可能なプロファイル、SSH/WinRM 経由のリモートスキャン、構造化されたコンプライアンスレポートを備えた、より完全なフレームワークです。
| Goss | InSpec | |
|---|---|---|
| 定義言語 | YAML（gossfile） | Ruby DSL |
| フットプリント | 小さな単一バイナリ | より大きなランタイム |
| 速度 | 非常に高速 | 低速、より高機能 |
| リモートスキャン | ローカル中心（コンテナには dgoss） | SSH/WinRM のリモートターゲット |
| コンプライアンスレポート | 基本的 | リッチなプロファイルとレポート |
| 最適な用途 | コンテナ/イメージのスモークチェック | 監査と compliance-as-code |
それぞれが本当に優れている点
Goss は速度とシンプルさで優れています。小さなバイナリと YAML チェックにより、CI でビルドしたばかりのコンテナイメージを数秒で検証するのに最適で、dgoss はビルド中のイメージテストを支援します。InSpec は深さで優れています。再利用可能なプロファイル、継承、豊富な resource セット、リモートターゲットのスキャン、コンプライアンスレポート（標準へのマッピングを含む）は、監査やセキュリティ/コンプライアンスのユースケースに適しています。
CI での活用
Goss は優れたビルド後のゲートです。イメージをビルドした後、gossfile を実行してポート、プロセス、ファイルを検証し、イメージが誤っていれば素早く失敗します。InSpec はコンプライアンスパイプラインに適しています。ビルドしたイメージや稼働中のホストに対してプロファイルを実行し、構造化された結果を公開します。ビルドごとのイメージチェックには Goss がステップを軽量に保ち、継続的なコンプライアンスの証跡には InSpec のレポートが大きな利点です。
正直な注意点
Goss は意図的にミニマルです。InSpec の深いコンプライアンスレポート、リモートスキャンの幅広さ、再利用可能なプロファイルモデルを欠いています。InSpec はより強力ですが、より重く実行が遅く、Ruby DSL は学ぶことが多くなります。手早いスモークチェックが必要か、フル機能の compliance-as-code が必要かで選びましょう。
結論
build パイプラインでの高速で軽量なコンテナ/サーバー検証には Goss を選びましょう。再利用可能なプロファイル、リモートスキャン、監査レベルのレポートといった compliance-as-code が必要なら InSpec を選びましょう。