Как работает Terraform и зачем ему state?

Цикл работы:

1. terraform init — провайдеры и бэкенд state.
2. terraform plan — разница между кодом и реальностью.
3. terraform apply — применение, обновление state.

Почему не в Git: state меняется при каждом apply, содержит секреты, конфликтует при параллельной работе. Удалённый бэкенд с блокировкой решает все три проблемы.

Организация:

• модули для повторяющихся частей (сеть, кластер);
• отдельный state на окружение и на крупный блок — меньше радиус ошибки и быстрее plan;
• plan в CI на каждый PR, apply после ревью;
• lifecycle { prevent_destroy = true } для критичных ресурсов;
• импорт существующих ресурсов (import) вместо ручного пересоздания.

Дрейф обнаруживают регулярным plan по расписанию.

terraform {
  backend "s3" {
    bucket = "tf-state"
    key    = "prod/network.tfstate"
    region = "ru-central1"
    endpoints = { s3 = "https://storage.yandexcloud.net" }
  }
}

resource "yandex_vpc_network" "main" {
  name = "prod"
}

resource "yandex_vpc_subnet" "app_a" {
  network_id     = yandex_vpc_network.main.id
  zone           = "ru-central1-a"
  v4_cidr_blocks = ["10.0.0.0/20"]
}