Terraform sur Azure

Terraform est un outil open source d’Infrastructure as Code développé par HashiCorp. Contrairement à Bicep, Terraform est indépendant des fournisseurs cloud : une seule base de code Terraform peut gérer simultanément des ressources sur Azure, AWS, GCP et de nombreux autres fournisseurs. Sur Azure, Terraform utilise le fournisseur AzureRM pour interagir avec l’API ARM, ce qui en fait un choix populaire pour les organisations multicloud.

Le fournisseur AzureRM est un module d’extension que Terraform télécharge et utilise pour traduire la configuration Terraform en appels à l’API ARM. Il est géré par HashiCorp et Microsoft et constitue la méthode officielle pour gérer des ressources Azure avec Terraform. Configurez le fournisseur avec l’ID de votre abonnement et votre méthode d’authentification, puis exécutez terraform init pour le télécharger.

Un projet Terraform Azure classique est réparti entre plusieurs fichiers .tf : main.tf contient les déclarations de ressources, variables.tf définit les variables d’entrée, outputs.tf définit les valeurs de sortie et terraform.tfvars fournit les valeurs des variables pour un environnement donné. Terraform charge automatiquement tous les fichiers .tf du répertoire actuel ; leur répartition en plusieurs fichiers vise donc uniquement à améliorer la lisibilité.

Dans Terraform, vous déclarez les ressources Azure à l’aide de blocs resource. Le type de bloc est resource, suivi du type de ressource AzureRM (par exemple 'azurerm_resource_group') et d’un nom local utilisé pour la référencer dans la configuration. Les noms de propriétés dans Terraform utilisent la notation snake_case, contrairement aux notations camelCase ou PascalCase utilisées dans ARM JSON.

Le processus Terraform principal comporte trois étapes. terraform init télécharge le fournisseur AzureRM et configure le backend. terraform plan compare votre configuration à l’état actuel et affiche les différences concernant ce qui sera créé, modifié ou détruit, de manière similaire à what-if dans ARM. terraform apply exécute le plan et met à jour Azure pour le rendre conforme à votre configuration.

Terraform gère un fichier d’état (terraform.tfstate) qui enregistre l’état actuel de toutes les ressources gérées et les associe à votre configuration. Ce fichier permet à Terraform de détecter les divergences entre la configuration et les ressources présentes dans Azure. Dans les environnements d’équipe, stockez l’état à distance dans un Azure Storage Account (un backend Terraform) afin que tous les membres de l’équipe partagent le même fichier d’état.

Terraform prend en charge plusieurs méthodes d’authentification pour Azure. Lors du développement local, utilisez az login (authentification Azure CLI) : Terraform récupère automatiquement les informations d’identification. Dans les pipelines d’intégration et de déploiement continus, utilisez un Service Principal avec un secret client ou un certificat, transmis par des variables d’environnement. Pour les agents ou machines virtuelles hébergés dans Azure, utilisez une identité managée afin de bénéficier de l’authentification la plus sécurisée, sans secret.

Comme les modules Bicep, les modules Terraform vous permettent de regrouper et de réutiliser des modèles d’infrastructure. Un module est un répertoire contenant des fichiers .tf. Vous le référencez avec un bloc module, lui transmettez des entrées via des variables et utilisez ses sorties. Le Terraform Registry héberge des centaines de modules Azure créés par la communauté ou vérifiés, que vous pouvez utiliser directement, comme le module réseau AzureRM.

Choisissez Bicep lorsque votre organisation utilise uniquement Azure et souhaite l’intégration la plus étroite avec les nouvelles fonctionnalités Azure (Bicep prend en charge les nouveaux types de ressources dès leur lancement). Choisissez Terraform lorsque vous gérez des ressources auprès de plusieurs fournisseurs cloud, que vous avez besoin du vaste écosystème de modules communautaires ou que vous préférez la syntaxe HCL et la suite d’outils HashiCorp. Les deux solutions conviennent aux déploiements exclusivement Azure ; la préférence de l’organisation est souvent déterminante.

Si des ressources existent déjà dans Azure avant que vous ne commenciez à utiliser Terraform, vous pouvez les placer sous la gestion de Terraform avec terraform import. Cette commande récupère l’état actuel de la ressource et l’ajoute au fichier d’état Terraform. Après l’importation, vous devez rédiger manuellement le bloc de configuration correspondant afin qu’il corresponde à la ressource importée, puis exécuter terraform plan pour confirmer qu’il n’existe aucune différence.

Suivez ces bonnes pratiques pour Terraform sur Azure : stockez l’état à distance dans Azure Blob Storage en activant le verrouillage de l’état, utilisez des espaces de travail ou des fichiers d’état distincts pour les différents environnements, n’enregistrez jamais de secrets dans le contrôle de code source — utilisez plutôt les sources de données Azure Key Vault —, figez les versions des fournisseurs afin d’éviter les changements incompatibles et exécutez Terraform dans un pipeline d’intégration et de déploiement continus (Azure Pipelines ou GitHub Actions) avec des étapes d’approbation du plan.

Vérifiez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) présentés dans cette leçon.

Dans cette leçon, vous avez appris que Terraform est un outil IaC indépendant des fournisseurs cloud qui utilise le fournisseur AzureRM pour gérer les ressources Azure, que le processus init, plan, apply permet des déploiements sûrs et prévisibles, et que l’état distant dans Azure Blob Storage est essentiel à la collaboration en équipe. Nous allons maintenant découvrir la création de plans App Service et d’applications Web.