Щелчок по облачной консоли подходит для одного сервера. Он перестает работать, когда вам нужна одна и та же настройка в процессе подготовки и производства или когда кто-то спрашивает, кто изменил правило брандмауэра в марте прошлого года. В этом руководстве по Terraform для начинающих показан лучший способ: описать свою инфраструктуру в коде и позволить инструменту воплотить ее в жизнь.

Большинство учебных пособий начинаются с облачной учетной записи, что увеличивает риск выставления счетов еще до того, как вы что-либо узнаете. Начнем с провайдера Terraform local, который просто создает файлы на вашем компьютере, поэтому ошибки ничего не стоят. Эти примеры и образец вывода являются стандартными иллюстрациями, которые мы не использовали для этой статьи, а точные формулировки зависят от версии.

Что такое Терраформ?

Terraform — это инструмент «инфраструктура как код» (IaC) от HashiCorp. Вы пишете файлы конфигурации на HCL, языке конфигурации HashiCorp, описывая желаемый конечный результат. Затем Terraform решает, что нужно создать, изменить или удалить, чтобы добиться желаемого.

Он взаимодействует с платформами через плагины, называемые провайдерами. Существуют поставщики для AWS, Azure, Google Cloud, Kubernetes, GitHub, Cloudflare и многих других, поэтому вы можете использовать один рабочий процесс для всех них.

Следует знать одну вещь: в 2023 году HashiCorp перевела Terraform на лицензию Business Source. Затем сообщество создало OpenTofu, форк с открытым исходным кодом, который использует очень похожие команды и конфигурацию. То, что вы узнаете здесь, во многом применимо к обоим.

Почему инфраструктура как код?

Terraform также является декларативным. Вы утверждаете, что «серверов должно быть три», а не «создайте сервер три раза». Если два уже существуют, он добавляет один. Сценарий, который просто повторяет свои шаги, может в конечном итоге создать еще три.

Установить Терраформ

Установите его, используя официальную инструкцию HashiCorp для вашей операционной системы, а затем убедитесь, что он работает:

terraform -version

Создайте пустую папку для проекта. Terraform считывает каждый .tf файл в текущей папке, поэтому одна папка соответствует одной конфигурации.

Ваша первая конфигурация

Создайте файл с именем main.tf:

terraform {
  required_providers {
    local = {
      source  = "hashicorp/local"
      version = "~> 2.5"
    }
  }
}

resource "local_file" "greeting" {
  filename = "${path.module}/hello.txt"
  content  = "Hello from Terraform\n"
}

Посмотрите на блок resource, почти все, что вы пишете, имеет эту форму. local_file — это тип ресурса, а greeting — ваше собственное имя для него внутри конфигурации. Вместе они образуют его адрес: local_file.greeting. Аргументы внутри описывают то, что вы хотите.

Рабочий процесс: инициализация, планирование, применение

терраформирование инициализации

Это подготовит папку и загрузит запрошенных вами поставщиков. Запустите его один раз при запуске и снова при каждом добавлении поставщика или модуля. Он также создает файл .terraform.lock.hcl, в котором записаны точные версии поставщика. Зафиксируйте этот файл в Git.

terraform init

план терраформирования

Это сравнивает ваш код с тем, что существует, и показывает запланированные изменения, ничего не трогая:

terraform plan

# local_file.greeting will be created
+ resource "local_file" "greeting" {
    + content  = "Hello from Terraform\n"
    + filename = "./hello.txt"
  }

Plan: 1 to add, 0 to change, 0 to destroy.

Изучите символы, потому что вы прочитаете много планов:

применить терраформирование

Это снова отобразит план, запрашивает подтверждение и вносит изменения:

terraform apply

Появятся типы yes и hello.txt. Теперь снова запустите terraform plan. Он не должен сообщать об изменениях, поскольку реальность уже соответствует вашему коду. Это свойство, при котором его повторное выполнение не приводит к дальнейшим изменениям, называется идемпотентностью.

Изменение и разрушение

Отредактируйте строку content и запустите terraform plan. Terraform замечает разницу и предлагает изменения. Для этого ресурса он заменяет файл. Обратите внимание на замены в реальной инфраструктуре, поскольку воссоздание базы данных может означать потерю данных.

Затем удалите hello.txt вручную и запланируйте заново. Terraform замечает, что он отсутствует, и предлагает воссоздать его. Разница между вашим кодом и реальностью называется дрейфом, и ее обнаружение является одним из основных преимуществ этого инструмента.

Чтобы удалить все, чем управляет эта конфигурация, запустите:

terraform destroy

Переменные и выходные данные

Жестко закодированные значения не позволяют повторно использовать код. Входные переменные делают конфигурацию гибкой, а выходные возвращают полезные значения:

# variables.tf
variable "environment" {
  type        = string
  description = "Deployment environment"
  default     = "dev"

  validation {
    condition     = contains(["dev", "staging", "prod"], var.environment)
    error_message = "Use dev, staging or prod."
  }
}

# main.tf
resource "local_file" "config" {
  filename = "${path.module}/${var.environment}.txt"
  content  = "environment=${var.environment}\n"
}

# outputs.tf
output "config_path" {
  value = local_file.config.filename
}

Задайте значения в командной строке или сохраните их в файле с именем terraform.tfvars, который загружается автоматически:

terraform apply -var="environment=staging"

Использование local_file.config.filename в выводе также определяет, как ресурсы ссылаются друг на друга. Terraform читает эти ссылки, чтобы определить правильный порядок создания объектов.

Терраформировать государство

После подачи заявки вы найдете файл с именем terraform.tfstate. Это запись того, чем Terraform управляет, сопоставляя ваш код с реальными объектами. Без него Terraform не знал бы, что local_file.greeting — это конкретный файл.

Здесь важны три правила:

1. Никогда не передавайте состояние в Git. Оно может содержать пароли и другие секреты в виде обычного текста.
2. Не редактируйте его вручную. Используйте такие команды, как terraform state list и terraform state mv.
3. Используйте удаленный сервер для командных проектов. Общий сервер хранит состояние централизованно и блокирует его, поэтому два человека не могут подать заявку одновременно.

Вот типичный бэкэнд, использующий Amazon S3, с заранее созданной корзиной:

terraform {
  backend "s3" {
    bucket       = "my-company-terraform-state"
    key          = "shop/prod/terraform.tfstate"
    region       = "ap-south-1"
    encrypt      = true
    use_lockfile = true
  }
}

Настоящий облачный ресурс

Рабочий процесс не меняется при переходе в облако. Вот корзина S3 на AWS. Сначала проверьте цены и уничтожьте все, что вы создадите во время тренировки:

provider "aws" {
  region = "ap-south-1"
}

resource "aws_s3_bucket" "reports" {
  bucket = "my-unique-reports-bucket-2026"

  tags = {
    Environment = var.environment
    ManagedBy   = "terraform"
  }
}

Terraform получает учетные данные из настроек AWS CLI или переменных среды. Никогда не записывайте ключи доступа в файл .tf.

Модули

Модуль — это просто папка с файлами Terraform, которую вы можете вызывать с помощью различных входных данных. Он работает во многом как функция, позволяя вам один раз определить шаблон и использовать его повторно:

project/
  main.tf
  modules/
    reports_bucket/
      main.tf
      variables.tf
      outputs.tf

module "staging_reports" {
  source      = "./modules/reports_bucket"
  environment = "staging"
}

module "prod_reports" {
  source      = "./modules/reports_bucket"
  environment = "prod"
}

В общедоступном реестре Terraform также есть готовые модули, но прочитайте их, прежде чем полагаться на них, и закрепите версию. Не создавайте модули слишком рано. Подождите, пока вы не повторите шаблон хотя бы дважды.

Безопасный командный рабочий процесс

1. Создайте ветку и измените файлы .tf. Если вам нужно освежить знания, ознакомьтесь с нашим руководством по Git для начинающих.
2. Запустите terraform fmt и terraform validate.
3. Откройте запрос на включение с прикрепленными к нему выводами terraform plan для проверки.
4. После утверждения примените сохраненный план из одного контролируемого места, в идеале — из конвейера.

Сохранение плана гарантирует, что вы примените именно то, что было проверено:

terraform plan -out=tfplan
terraform apply tfplan

Это естественным образом вписывается в CI/CD и GitHub Actions. Terraform обычно выделяет кластер, а такие инструменты, как Kubernetes, затем запускают приложения поверх него.

Распространенные ошибки

• Подача заявки без прочтения плана. Один -/+ в базе данных может оказаться очень дорогим сюрпризом.
• Сохранение состояния на одном ноутбуке. Потеряйте этот ноутбук, и Terraform потеряет контроль над вашей инфраструктурой.
• Внесение изменений в консоль вручную. Они вызывают дрейф, и следующее применение может их отменить.
• Использование незакрепленных версий. Закрепите версии поставщика и модуля, чтобы обновления выполнялись намеренно.
• Использование одной огромной конфигурации. Разделение по среде или системе ограничивает ущерб от любой ошибки.

Итоги

Теперь вы увидели идеи, лежащие в основе почти всех работ Terraform: объявить ресурсы, просмотреть план, применить его и защитить состояние. Практикуйтесь с поставщиком local до тех пор, пока рабочий процесс не станет естественным, а затем управляйте одним небольшим реальным ресурсом в учетной записи бесплатного уровня. Включайте удаленное состояние и модули, если в проекте участвует более одного человека или более одной среды.

Часто задаваемые вопросы

Продолжайте учиться