Terraform in Azure

Terraform ist ein von HashiCorp entwickeltes Open-Source-Tool für Infrastructure as Code. Anders als Bicep ist Terraform cloudunabhängig – eine einzige Terraform-Codebasis kann Ressourcen gleichzeitig in Azure, AWS, GCP und vielen anderen Providern verwalten. In Azure verwendet Terraform den AzureRM-Provider, um mit der ARM-API zu interagieren. Dadurch ist Terraform eine beliebte Wahl für Multi-Cloud-Organisationen.

Der AzureRM-Provider ist ein Plugin, das Terraform herunterlädt und verwendet, um Terraform-Konfigurationen in Aufrufe der ARM-API zu übersetzen. Er wird von HashiCorp und Microsoft gepflegt und ist die offizielle Möglichkeit, Azure-Ressourcen mit Terraform zu verwalten. Konfigurieren Sie den Provider mit Ihrer Abonnement-ID und der Authentifizierungsmethode, und führen Sie anschließend terraform init aus, um ihn herunterzuladen.

Ein typisches Azure-Terraform-Projekt ist auf mehrere .tf-Dateien verteilt: main.tf enthält Ressourcendeklarationen, variables.tf definiert Eingabevariablen, outputs.tf definiert Ausgabewerte und terraform.tfvars stellt Variablenwerte für eine bestimmte Umgebung bereit. Terraform lädt automatisch alle .tf-Dateien im aktuellen Verzeichnis. Die Aufteilung in mehrere Dateien dient daher ausschließlich der besseren Lesbarkeit.

In Terraform deklarieren Sie Azure-Ressourcen mithilfe von resource-Blöcken. Der Blocktyp ist resource, gefolgt vom AzureRM-Ressourcentyp (z. B. 'azurerm_resource_group') und einem lokalen Namen, über den Sie innerhalb der Konfiguration auf die Ressource verweisen. Eigenschaftsnamen verwenden in Terraform snake_case statt der in ARM-JSON verwendeten Schreibweisen camelCase oder PascalCase.

Der zentrale Terraform-Workflow umfasst drei Schritte. terraform init lädt den AzureRM-Provider herunter und richtet das Backend ein. terraform plan vergleicht Ihre Konfiguration mit dem aktuellen Zustand und zeigt eine Differenz der Ressourcen an, die erstellt, geändert oder zerstört werden – ähnlich wie ARM what-if. terraform apply führt den Plan aus und aktualisiert Azure so, dass es Ihrer Konfiguration entspricht.

Terraform verwaltet eine State-Datei (terraform.tfstate), die den aktuellen Zustand aller verwalteten Ressourcen erfasst und diese Ihrer Konfiguration zuordnet. Dadurch kann Terraform Abweichungen zwischen der Konfiguration und den tatsächlich in Azure vorhandenen Ressourcen erkennen. In Teamumgebungen sollten Sie den State remote in einem Azure Storage Account (einem Terraform-Backend) speichern, damit alle Teammitglieder dieselbe State-Datei verwenden.

Terraform unterstützt mehrere Authentifizierungsmethoden für Azure. Verwenden Sie während der lokalen Entwicklung az login (Azure-CLI-Authentifizierung) – Terraform übernimmt die Anmeldeinformationen automatisch. Verwenden Sie in CI/CD-Pipelines einen Service Principal mit einem Clientschlüssel oder Zertifikat, der über Umgebungsvariablen übergeben wird. Verwenden Sie für in Azure gehostete Agents oder VMs eine Managed Identity, um eine besonders sichere Authentifizierung ohne Geheimnisse zu ermöglichen.

Wie Bicep-Module ermöglichen es Ihnen auch Terraform-Module, Infrastrukturmuster zu kapseln und wiederzuverwenden. Ein Modul ist ein Verzeichnis, das .tf-Dateien enthält. Sie verweisen mit einem module-Block darauf, übergeben Eingaben über variables und verwenden Ausgaben. Die Terraform Registry enthält Hunderte von Community- und verifizierten Azure-Modulen, die Sie direkt verwenden können, beispielsweise das AzureRM-Netzwerkmodul.

Wählen Sie Bicep, wenn Ihre Organisation ausschließlich Azure verwendet und eine möglichst enge Integration mit neuen Azure-Funktionen wünscht (Bicep unterstützt neue Ressourcentypen bereits am ersten Tag). Wählen Sie Terraform, wenn Sie Ressourcen über mehrere Cloudanbieter hinweg verwalten, das umfangreiche Ökosystem von Community-Modulen benötigen oder die HCL-Syntax und die HashiCorp-Toolchain bevorzugen. Beide Lösungen eignen sich für reine Azure-Bereitstellungen – häufig entscheidet die Präferenz der Organisation.

Wenn Ressourcen bereits in Azure vorhanden waren, bevor Sie Terraform eingesetzt haben, können Sie sie mit terraform import unter die Verwaltung von Terraform stellen. Dieser Befehl ruft den aktuellen Zustand der Ressource ab und fügt ihn der Terraform-State-Datei hinzu. Nach dem Import müssen Sie den entsprechenden Konfigurationsblock manuell erstellen, damit er der importierten Ressource entspricht. Führen Sie anschließend terraform plan aus, um zu bestätigen, dass keine Unterschiede vorhanden sind.

Befolgen Sie für Terraform in Azure diese Best Practices: Speichern Sie den State remote in Azure Blob Storage und aktivieren Sie State Locking, verwenden Sie Workspaces oder separate State-Dateien für unterschiedliche Umgebungen, übernehmen Sie niemals Geheimnisse in die Quellcodeverwaltung – verwenden Sie stattdessen Azure-Key-Vault-Datenquellen –, legen Sie Provider-Versionen fest, um Breaking Changes zu vermeiden, und führen Sie Terraform in einer CI/CD-Pipeline (Azure Pipelines oder GitHub Actions) mit Genehmigungsstufen für Pläne aus.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Terraform ist ein cloudunabhängiges IaC-Tool, das den AzureRM-Provider zur Verwaltung von Azure-Ressourcen verwendet. Der Workflow aus Init, Plan und Apply ermöglicht sichere und vorhersehbare Bereitstellungen, und ein Remote State in Azure Blob Storage ist für die Zusammenarbeit im Team unverzichtbar. Als Nächstes beschäftigen wir uns mit dem Erstellen von App-Service-Plänen und Web-Apps.