Terraform su Azure

Terraform è uno strumento open source di Infrastructure as Code sviluppato da HashiCorp. A differenza di Bicep, Terraform è indipendente dal cloud: una singola codebase Terraform può gestire contemporaneamente risorse in Azure, AWS, GCP e molti altri provider. In Azure, Terraform usa il provider AzureRM per interagire con l'API ARM, rappresentando una scelta diffusa per le organizzazioni multi-cloud.

Il provider AzureRM è un plugin che Terraform scarica e utilizza per tradurre la configurazione Terraform in chiamate all'API ARM. È gestito da HashiCorp e Microsoft ed è il metodo ufficiale per gestire le risorse Azure con Terraform. Configuri il provider con l'ID della sottoscrizione e il metodo di autenticazione, quindi esegua terraform init per scaricarlo.

Un tipico progetto Terraform per Azure è suddiviso in diversi file .tf: main.tf contiene le dichiarazioni delle risorse, variables.tf definisce le variabili di input, outputs.tf definisce i valori di output e terraform.tfvars fornisce i valori delle variabili per un ambiente specifico. Terraform carica automaticamente tutti i file .tf nella directory corrente, quindi la suddivisione in più file serve esclusivamente a migliorare la leggibilità.

In Terraform, le risorse Azure vengono dichiarate usando blocchi resource. Il tipo di blocco è resource, seguito dal tipo di risorsa AzureRM, ad esempio 'azurerm_resource_group', e da un nome locale usato per farvi riferimento nella configurazione. I nomi delle proprietà in Terraform usano snake_case anziché camelCase o PascalCase, utilizzati nel JSON ARM.

Il flusso di lavoro principale di Terraform prevede tre passaggi. terraform init scarica il provider AzureRM e configura il backend. terraform plan confronta la configurazione con lo stato corrente e mostra un diff di ciò che verrà creato, modificato o eliminato, in modo simile al comando what-if di ARM. terraform apply esegue il piano e aggiorna Azure affinché corrisponda alla configurazione.

Terraform mantiene un file di stato (terraform.tfstate) che registra lo stato corrente di tutte le risorse gestite e le associa alla configurazione. Questo file consente a Terraform di rilevare la divergenza tra ciò che è configurato e ciò che esiste in Azure. Negli ambienti di team, archivi lo stato in remoto in un Azure Storage Account (un backend Terraform), in modo che tutti i membri del team condividano lo stesso file di stato.

Terraform supporta diversi metodi di autenticazione per Azure. Durante lo sviluppo locale, usi az login (autenticazione tramite Azure CLI): Terraform rileva automaticamente le credenziali. Nelle pipeline CI/CD, usi un Service Principal con un segreto client o un certificato, passato tramite variabili d'ambiente. Per agenti o macchine virtuali ospitati in Azure, usi una Managed Identity per ottenere l'autenticazione più sicura e senza segreti.

Come i moduli Bicep, i moduli Terraform consentono di raggruppare e riutilizzare pattern d'infrastruttura. Un modulo è una directory contenente file .tf. È possibile farvi riferimento con un blocco module, passare gli input tramite variables e utilizzare gli output. Il Terraform Registry ospita centinaia di moduli Azure della community e verificati che può usare direttamente, ad esempio il modulo di rete AzureRM.

Scelga Bicep quando la sua organizzazione usa esclusivamente Azure e desidera la massima integrazione con le nuove funzionalità di Azure (Bicep supporta i nuovi tipi di risorsa fin dal primo giorno). Scelga Terraform quando gestisce risorse su più provider cloud, ha bisogno del vasto ecosistema di moduli della community o preferisce la sintassi HCL e la toolchain HashiCorp. Entrambi sono validi per distribuzioni esclusivamente in Azure: spesso è la preferenza dell'organizzazione a determinare la scelta.

Se le risorse esistevano già in Azure prima che iniziasse a usare Terraform, può portarle sotto la gestione di Terraform usando terraform import. Questo comando recupera lo stato corrente della risorsa e lo aggiunge al file di stato di Terraform. Dopo l'importazione, deve scrivere manualmente il blocco di configurazione corrispondente in modo che corrisponda alla risorsa importata, quindi eseguire terraform plan per verificare che non vi siano differenze.

Segua queste best practice per Terraform in Azure: archivi lo stato in remoto in Azure Blob Storage con il blocco dello stato abilitato, usi workspace o file di stato separati per ambienti diversi, non esegua mai il commit dei segreti nel controllo del codice sorgente: usi invece le origini dati di Azure Key Vault, fissi le versioni del provider per evitare modifiche incompatibili e esegua Terraform in una pipeline CI/CD (Azure Pipelines o GitHub Actions) con passaggi di approvazione del piano.

In questa lezione ha imparato che Terraform è uno strumento IaC indipendente dal cloud che usa il provider AzureRM per gestire le risorse Azure; il flusso di lavoro init, plan, apply consente distribuzioni sicure e prevedibili; inoltre, lo stato remoto in Azure Blob Storage è essenziale per la collaborazione tra team. Prossimamente esploreremo la creazione di piani App Service e Web App.