Neckbeard – Plugin DevOps/SRE biến ứng dụng thành hạ tầng cloud có thể kiểm duyệt

Trong bối cảnh các agent lập trình ngày càng phổ biến, một dự án mã nguồn mở mang tên Neckbeard đang thu hút sự chú ý của cộng đồng DevOps. Công cụ này hoạt động như một plugin dành cho agent lập trình, giúp chuyển đổi ứng dụng thành hạ tầng cloud có thể kiểm duyệt kèm ước tính chi phí hàng tháng. Điểm đặc biệt nằm ở triết lý thiết kế: agent chỉ đọc và giải thích, còn phần lập kế hoạch, render và xác thực đều do mã tất định đảm nhiệm.

Neckbeard – plugin DevOps cho agent lập trình

Vấn đề mà Neckbeard giải quyết

Các agent lập trình hiện nay rất giỏi viết mã ứng dụng nhưng lại yếu khi tự tay dựng hạ tầng. Kiểu thất bại thường thấy là những đoạn mã HCL trông có vẻ hợp lý nhưng thực chất bị lỗi tinh vi, không an toàn theo mặc định và không thể ước tính chi phí. Neckbeard đảo ngược vai trò:

• Con người duy trì golden path – các module OpenTofu được đánh phiên bản, template pipeline, bố cục GitOps cho từng cloud, được kiểm thử trong CI mỗi khi có thay đổi.
• Agent phân tích, tham số hóa và giải thích – nó đọc ứng dụng, xác định nhu cầu và ánh xạ vào đầu vào của catalog, kèm bằng chứng cho mọi khẳng định.
• Phần ở giữa hoàn toàn tất định – cùng đầu vào cho ra cùng kết quả: bộ lập kế hoạch tạo ra file khóa blueprint.yaml được xác minh bằng hash, bộ render là hàm thuần túy, và việc tái tạo không bao giờ ghi đè chỉnh sửa của bạn một cách âm thầm.

Cách cài đặt và sử dụng

Với Claude Code, bạn cài đặt qua hai lệnh riêng biệt:

/plugin marketplace add bealesh/neckbeard
/plugin install neckbeard@neckbeard

Sau đó, trong repo ứng dụng của bạn, chạy /neckbeard:analyze. Lệnh /neckbeard: đầu tiên sẽ tự động cài đặt CLI nhỏ gọn mà plugin điều khiển (binary phát hành được xác minh sha256, hoặc go install nếu máy có Go). Với Codex, Cursor hoặc bất kỳ agent nào hỗ trợ SKILL.md, bạn xem hướng dẫn trong INSTALL.md.

Quy trình làm việc diễn ra như sau:

bạn:    /neckbeard:analyze
agent:  đọc repo → hồ sơ dựa trên bằng chứng → hỏi những gì mã không thể cho biết
bạn:    trả lời câu hỏi, chọn cloud và tier
bạn:    /neckbeard:estimate
agent:  lập kế hoạch dựa trên catalog → "dự kiến 77 USD/tháng — đây là bảng chi phí"
bạn:    /neckbeard:sync
agent:  scaffold → validate → "V0 PASSED; V1/V2 NOT EXERCISED"
bạn:    review file như một PR bình thường

Chi phí – điều ít ai nói với bạn

Một trong những điểm mạnh nhất của Neckbeard là minh bạch về chi phí. Cùng một ứng dụng tham chiếu (HTTP service + worker + cron + Postgres), tier nhỏ nhất, cả ba môi trường, giá trực tiếp qua Infracost:

• Cloud Run: 77 USD/tháng
• Container Apps: khoảng 98 USD (Infracost chưa định giá được phần compute)
• ECS Fargate: 250 USD/tháng
• EKS: 396 USD/tháng
• GKE (regional): 754 USD/tháng
• AKS: khoảng 801 USD/tháng

Thay vì để con số thấp đánh lừa người dùng, báo cáo nêu rõ từng tài nguyên chưa được định giá. Đây chính là lý do Neckbeard khuyên các nhà phát triển đơn lẻ rằng "bạn chưa cần Kubernetes" – kèm bằng chứng cụ thể.

Tính trung thực như một kiến trúc

Các công cụ hạ tầng thường ngụ ý nhiều hơn những gì chúng đã chứng minh. Neckbeard báo cáo theo ba mức phán quyết, và mức thứ ba mới là điểm mấu chốt:

• V0 PASSED – tofu validate và checkov policy đều đạt, mọi bỏ qua đều kèm lý do bằng văn bản.
• V1 NOT EXERCISED – kế hoạch có xác thực, yêu cầu thông tin đăng nhập cloud.
• V2 NOT EXERCISED – xác minh triển khai, yêu cầu thông tin đăng nhập cloud.

Xác thực tĩnh không bao giờ khẳng định khả năng triển khai. Mỗi lần bỏ qua Checkov trong file .checkov.yaml được tạo ra đều nêu rõ lý do – bởi "một lần bỏ qua không có lý do là một lời nói dối về mức độ bảo mật của bạn".

Những gì bạn nhận được

Neckbeard cung cấp một bộ hạ tầng hoàn chỉnh với nhiều thành phần đáng chú ý:

• Ba môi trường tách biệt (dev/stg/prd) với trạng thái độc lập, kích thước theo tier preset dựa trên các chiều rõ ràng: lưu lượng, tính sẵn sàng, RPO/RTO, năng lực vận hành.
• Hai runtime cho mỗi cloud – serverless container (Cloud Run / ECS Fargate / Container Apps) hoặc Kubernetes (EKS / GKE / AKS) với manifest Flux.
• CI/CD cho GitHub Actions hoặc GitLab CI từ một model duy nhất: test → build → scan (trivy chặn HIGH/CRITICAL) → push; hạ tầng lập kế hoạch trên PR với danh tính chỉ đọc, apply trên main với danh tính ghi.
• Không dùng khóa cloud tĩnh – liên kết OIDC ở mọi nơi, được thực thi bằng một bài kiểm tra sẽ thất bại nếu pipeline render ra có nhắc đến AWS_SECRET_ACCESS_KEY.
• Tư thế bảo mật như các kiểm soát rõ ràng – mạng riêng theo mặc định, secret manager giữ tên mà người vận hành điền vào, danh tính CI có phạm vi giới hạn.
• Runbook bootstrap (docs/bootstrap.md) hướng dẫn con người có thông tin đăng nhập nâng cao đi qua từng bước: state backend → OIDC trust → danh tính CI, theo từng môi trường.

Trạng thái hiện tại: tiền alpha, và rất chính xác về điều đó

Neckbeard hiện ở giai đoạn tiền alpha. Sản phẩm của plugin hôm nay là nửa phần onboarding: hạ tầng có thể kiểm duyệt, pipeline, ước tính chi phí và runbook bootstrap bạn có thể giao cho một người thật. Vòng đời triển khai (neckbeard release …) vẫn đang ở mức thử nghiệm.

Những gì đã được chứng minh bao gồm: phân tích → lập kế hoạch → ước tính → scaffold → validate trên cả 12 đường dẫn cloud × VCS × runtime, được chạy trong CI mỗi PR. Triển khai thật → cập nhật → rollback trên serverless đã đạt trên AWS/GitHub và Azure/GitHub với kiểm tra database thật.

Với các nhóm DevOps và SRE tại Việt Nam đang tìm cách chuẩn hóa quy trình hạ tầng, Neckbeard là một dự án đáng theo dõi – đặc biệt khi các agent lập trình ngày càng tham gia sâu vào vòng đời phát triển phần mềm. Dự án được phát hành dưới giấy phép Apache-2.0.