Terraform Schulung: Infrastruktur als Code, auch mit OpenTofu

Einstieg in Terraform

• Was ist Terraform? Deklarative Provisionierung über Provider-APIs
• Terraform und OpenTofu: Lizenzwechsel zur BSL 2023, Fork unter der Linux Foundation, heute CNCF-Projekt
• Terraform für die Cloud-Infrastruktur nutzen – und wo Ansible oder GitOps übernehmen
• Ihr Terraform-Code-Repository: Root-Module, Module, .gitignore für State und .terraform
• AWS für Terraform einrichten: IAM-Rolle und SSO-Profile statt statischer Zugriffsschlüssel
• HCP Terraform (früher Terraform Cloud) und Alternativen für Remote-Läufe und State

Terraform in Aktion

• terraform init: Provider laden, Versionen festlegen, Lock-Datei .terraform.lock.hcl
• Terraform planen: Anlegen, Ändern, Ersetzen und Löschen im Plan erkennen
• Erster Durchlauf mit apply, Ausgaben anzeigen, Plan als Datei speichern
• Wie Terraform funktioniert: Abhängigkeitsgraph, Provider-Plugins und Parallelität
• Terraform-Zustände: Inhalt des State, warum er sensible Daten enthält
• Remote-State im S3-Backend mit Locking, Zugriffsschutz und Versionierung
• Code bearbeiten ohne Überraschungen: lifecycle, create_before_destroy, prevent_destroy
• Terraform-Fehler verstehen: Provider-Meldungen lesen, Fehlersuche mit TF_LOG

Infrastruktur als Code mit Terraform

• Ressourcen, Datenquellen und Ausgaben in HCL
• Grundlegende Ressourcentypen in AWS: VPC, Subnetze, EC2-Instanzen und S3-Buckets
• Sicherheitsgruppe mit getrennten Regel-Ressourcen für Ein- und Ausgang definieren
• Terraform-Stil: terraform fmt, Benennung, Dateiaufteilung und Prüfung mit TFLint
• Ausdrücke, count, for_each und dynamic-Blöcke für wiederholte Strukturen
• Bestehende Ressourcen mit import-Blöcken übernehmen, Umbenennungen mit moved ohne Neuanlage

Provider und Module

• Terraform-Registry: Provider finden, Herausgeber bewerten und Versionen eingrenzen
• Module aus der Terraform- bzw. OpenTofu-Registry verwenden und vor dem Einsatz prüfen
• Modularisierung: eigene Module mit Eingaben, Ausgaben und validation-Regeln schreiben
• Module über Git-Tags oder private Registries versioniert einbinden

Skalieren, Variablen und Umgebungen

• Bereit zum Skalieren: von der Einzelinstanz zu Auto Scaling Group und Load Balancer
• Installation erweitern: zusätzliche Dienste anbinden, Abhängigkeiten sauber auflösen
• Variablen: Typen, Standardwerte, validation und sensitive
• Daten aufteilen: tfvars-Dateien, locals und Ausgaben anderer Konfigurationen
• Umgebungen bereitstellen: Verzeichnisse je Umgebung oder Workspaces – Vor- und Nachteile
• Wiederholung über viele Umgebungen reduzieren: Terragrunt und Terraform Stacks (HCP Terraform/Enterprise) im Überblick

Tests, Sicherheit und Pipelines

• terraform validate und Tests mit terraform test in .tftest.hcl-Dateien
• Fehlkonfigurationen vor dem Apply finden mit Checkov oder Trivy
• Geheimnisse aus dem State heraushalten: ephemere Ressourcen und Write-only-Argumente
• OpenTofu-Besonderheiten: State-Verschlüsselung, Kompatibilität und Umstieg von Terraform
• Pipeline mit Plan im Pull-Request und Apply nach Freigabe, Cloud-Zugang über OIDC
• Drift erkennen: geplante Plan-Läufe und Umgang mit Änderungen außerhalb von Terraform

Aufräumen und Terraform-CLI

• Terraform aufräumen: destroy, einzelne Ressourcen entfernen und removed-Blöcke
• Terraform-CLI im Überblick: state list, state mv, output, console und graph
• Bestandscode pflegen: Provider-Major-Versionen anheben anhand der Upgrade-Leitfäden

Terraform-Code mit Coding-Agenten

• Agent darf terraform plan ausführen, apply bleibt der Pipeline vorbehalten
• Plan-Ausgabe als Prüfobjekt: Ersetzungen und Löschungen stoppen den Agenten automatisch
• Vorschläge gegen die Provider-Doku der Version aus .terraform.lock.hcl abgleichen
• validate, fmt -check und TFLint als Rückmeldung nach jeder Änderung des Agenten
• Lokale terraform.tfstate-Kopien und *.tfvars mit Geheimnissen sind für den Agenten gesperrt

Praxisprojekt: Webanwendung auf AWS für Test und Produktion

• Eigenes Netzwerkmodul mit VPC, Subnetzen und Sicherheitsgruppen samt terraform test
• Root-Konfigurationen für Test und Produktion mit Remote-State und eigenen Variablen
• GitHub-Actions-Workflow: Plan als PR-Kommentar, Apply nach Freigabe über eine OIDC-Rolle
• Sicherheitsgruppe in der Konsole ändern, Drift im Plan finden und per Code bereinigen

Lernziele

• Sie lesen einen Terraform-Plan sicher und erkennen Ersetzungen und Löschungen vor dem Apply
• Sie legen den State in einem Remote-Backend mit Locking ab und schützen ihn wie ein Geheimnis
• Sie schreiben wiederverwendbare Module mit validierten Eingaben und testen sie mit terraform test
• Sie übernehmen bestehende Cloud-Ressourcen per import-Block und bauen Code mit moved ohne Neuanlage um
• Sie entscheiden begründet zwischen Terraform und OpenTofu und richten eine Pipeline mit Plan im Pull-Request ein

Zielgruppe

• Cloud- und Plattform-Teams, die Infrastruktur reproduzierbar statt über die Konsole aufbauen wollen
• Administrator:innen, die von Skripten und manuellen Änderungen zu Infrastruktur als Code wechseln
• Entwickler:innen, die Terraform-Code in ihren Projekten lesen, ändern und reviewen