Terraform i Azure

Terraform er et open source-værktøj til Infrastructure as Code, udviklet af HashiCorp. I modsætning til Bicep er Terraform cloud-uafhængigt — en enkelt Terraform-kodebase kan administrere ressourcer på Azure, AWS, GCP og mange andre udbydere samtidig. På Azure bruger Terraform AzureRM-provideren til at kommunikere med ARM API'et, hvilket gør det til et populært valg for organisationer med flere clouds.

AzureRM-provideren er et plugin, som Terraform downloader og bruger til at oversætte Terraform-konfiguration til ARM API-kald. Den vedligeholdes af HashiCorp og Microsoft og er den officielle måde at administrere Azure-ressourcer med Terraform på. Konfigurer provideren med dit abonnements-ID og din godkendelsesmetode, og kør derefter terraform init for at downloade den.

Et typisk Azure Terraform-projekt er opdelt i flere .tf-filer: main.tf indeholder ressourceerklæringer, variables.tf definerer inputvariabler, outputs.tf definerer outputværdier, og terraform.tfvars angiver variable værdier for et bestemt miljø. Terraform indlæser automatisk alle .tf-filer i den aktuelle mappe, så opdelingen i flere filer er udelukkende af hensyn til læsbarheden.

I Terraform erklærer du Azure-ressourcer ved hjælp af resource-blokke. Bloktypen er resource, efterfulgt af AzureRM-ressourcetypen (f.eks. 'azurerm_resource_group') og et lokalt navn, som bruges til at referere til ressourcen i konfigurationen. Egenskabsnavne i Terraform bruger snake_case i stedet for camelCase eller PascalCase, som bruges i ARM JSON.

Den centrale Terraform-arbejdsgang består af tre trin. terraform init downloader AzureRM-provideren og konfigurerer backend'en. terraform plan sammenligner din konfiguration med den aktuelle tilstand og viser en forskeloversigt over det, der bliver oprettet, ændret eller slettet — på samme måde som ARM's what-if. terraform apply udfører planen og opdaterer Azure, så den stemmer overens med din konfiguration.

Terraform vedligeholder en tilstandsfil (terraform.tfstate), der registrerer den aktuelle tilstand for alle administrerede ressourcer og knytter dem til din konfiguration. Denne fil gør det muligt for Terraform at registrere afvigelser mellem det konfigurerede og det, der findes i Azure. I teammiljøer bør du gemme tilstanden eksternt i en Azure Storage Account (en Terraform-backend), så alle teammedlemmer deler den samme tilstandsfil.

Terraform understøtter flere godkendelsesmetoder til Azure. Under lokal udvikling kan du bruge az login (godkendelse via Azure CLI) — Terraform henter automatisk legitimationsoplysningerne. I CI/CD-pipelines skal du bruge en Service Principal med en klienthemmelighed eller et certifikat, som sendes via miljøvariable. Til Azure-hostede agenter eller VM'er skal du bruge en Managed Identity for at opnå den sikreste godkendelse uden hemmeligheder.

Ligesom Bicep-moduler gør Terraform-moduler det muligt at pakke og genbruge infrastrukturmønstre. Et modul er en mappe, der indeholder .tf-filer. Du refererer til det med en module-blok, sender input via variables og bruger outputs. Terraform Registry indeholder hundredvis af Azure-moduler fra fællesskabet samt verificerede moduler, som du kan bruge direkte, f.eks. AzureRM-netværksmodulet.

Vælg Bicep, når din organisation kun bruger Azure og ønsker den tættest mulige integration med nye Azure-funktioner (Bicep får understøttelse af nye ressourcetyper fra dag ét). Vælg Terraform, når du administrerer ressourcer på tværs af flere cloududbydere, har brug for det store økosystem af moduler fra fællesskabet eller foretrækker HCL-syntaks og HashiCorp-værktøjskæden. Begge er gyldige til udrulninger, der kun bruger Azure — ofte er det organisationens præference, der afgør valget.

Hvis ressourcer allerede findes i Azure, før du begyndte at bruge Terraform, kan du overtage administrationen af dem med Terraform ved hjælp af terraform import. Denne kommando henter ressourcens aktuelle tilstand og føjer den til Terraform-tilstandsfilen. Efter importen skal du manuelt skrive den tilsvarende konfigurationsblok, så den stemmer overens med den importerede ressource, og derefter køre terraform plan for at bekræfte, at der ikke er nogen forskelle.

Følg denne bedste praksis for Terraform på Azure: gem tilstanden eksternt i Azure Blob Storage med aktiveret låsning af tilstanden, brug workspaces eller separate tilstandsfiler til forskellige miljøer, gem aldrig hemmeligheder i kildekodestyring — brug i stedet Azure Key Vault-datakilder, fastlås providerversioner for at undgå inkompatible ændringer, og kør Terraform i en CI/CD-pipeline (Azure Pipelines eller GitHub Actions) med godkendelsestrin for planer.

I denne lektion lærte du, at Terraform er et cloud-uafhængigt IaC-værktøj, der bruger AzureRM-provideren til at administrere Azure-ressourcer, at arbejdsgangen med init, plan og apply muliggør sikre og forudsigelige udrulninger, og at ekstern tilstand i Azure Blob Storage er afgørende for samarbejde i teamet. Dernæst ser vi på oprettelse af App Service-planer og webapps.