Terraform no Azure

O Terraform é uma ferramenta de Infraestrutura como Código de código aberto desenvolvida pela HashiCorp. Ao contrário do Bicep, o Terraform é independente de provedor de nuvem — uma única base de código do Terraform pode gerenciar recursos no Azure, AWS, GCP e muitos outros provedores simultaneamente. No Azure, o Terraform usa o provedor AzureRM para interagir com a API do ARM, sendo uma escolha popular para organizações com várias nuvens.

O provedor AzureRM é um plugin que o Terraform baixa e usa para traduzir a configuração do Terraform em chamadas à API do ARM. Ele é mantido pela HashiCorp e pela Microsoft e é a forma oficial de gerenciar recursos do Azure com o Terraform. Configure o provedor com o ID da sua assinatura e o método de autenticação e, em seguida, execute terraform init para baixá-lo.

Um projeto típico do Terraform para Azure é dividido em vários arquivos .tf: main.tf contém as declarações de recursos, variables.tf define as variáveis de entrada, outputs.tf define os valores de saída e terraform.tfvars fornece os valores das variáveis para um ambiente específico. O Terraform carrega automaticamente todos os arquivos .tf do diretório atual, portanto, a divisão em vários arquivos serve exclusivamente para facilitar a leitura.

No Terraform, declara os recursos do Azure usando blocos resource. O tipo de bloco é resource, seguido pelo tipo de recurso do AzureRM (por exemplo, 'azurerm_resource_group') e por um nome local usado para referenciá-lo na configuração. Os nomes das propriedades no Terraform usam snake_case, em vez de camelCase ou PascalCase, usados no JSON do ARM.

O fluxo de trabalho principal do Terraform tem três etapas. terraform init baixa o provedor AzureRM e configura o back-end. terraform plan compara sua configuração com o estado atual e mostra um diff do que será criado, alterado ou destruído — de forma semelhante ao what-if do ARM. terraform apply executa o plano e atualiza o Azure para corresponder à sua configuração.

O Terraform mantém um arquivo de estado (terraform.tfstate) que registra o estado atual de todos os recursos gerenciados e os associa à sua configuração. Esse arquivo permite que o Terraform detecte divergências entre o que está configurado e o que existe no Azure. Em ambientes de equipe, armazene o estado remotamente em uma conta do Azure Storage (um back-end do Terraform) para que todos os membros da equipe compartilhem o mesmo arquivo de estado.

O Terraform oferece suporte a vários métodos de autenticação para o Azure. Durante o desenvolvimento local, use az login (autenticação da CLI do Azure) — o Terraform obtém as credenciais automaticamente. Em pipelines de CI/CD, use um Service Principal com um segredo ou certificado de cliente, transmitido por meio de variáveis de ambiente. Para agentes ou máquinas virtuais hospedados no Azure, use uma Identidade Gerenciada para obter a autenticação mais segura, sem segredos.

Assim como os módulos do Bicep, os módulos do Terraform permitem empacotar e reutilizar padrões de infraestrutura. Um módulo é um diretório que contém arquivos .tf. Pode referenciá-lo com um bloco module, passar entradas por meio de variables e consumir saídas. O Terraform Registry hospeda centenas de módulos do Azure mantidos pela comunidade e verificados, que pode usar diretamente, como o módulo de rede AzureRM.

Escolha o Bicep quando sua organização usar exclusivamente o Azure e quiser a integração mais estreita com os novos recursos do Azure (o Bicep recebe suporte para novos tipos de recursos desde o primeiro dia). Escolha o Terraform quando gerenciar recursos em vários provedores de nuvem, precisar do amplo ecossistema de módulos da comunidade ou preferir a sintaxe HCL e o conjunto de ferramentas da HashiCorp. Ambos são válidos para implantações exclusivamente no Azure — muitas vezes, a preferência da organização é o fator decisivo.

Se já existirem recursos no Azure antes de começar a usar o Terraform, poderá colocá-los sob o gerenciamento do Terraform usando terraform import. Esse comando obtém o estado atual do recurso e o adiciona ao arquivo de estado do Terraform. Depois da importação, deverá escrever manualmente o bloco de configuração correspondente para corresponder ao recurso importado e, em seguida, executar terraform plan para confirmar que não há diferenças.

Siga estas boas práticas para usar o Terraform no Azure: armazene o estado remotamente no Azure Blob Storage com o bloqueio de estado habilitado; use espaços de trabalho ou arquivos de estado separados para ambientes diferentes; nunca confirme segredos no controle de código-fonte — use fontes de dados do Azure Key Vault; fixe as versões do provedor para evitar alterações incompatíveis; e execute o Terraform em um pipeline de CI/CD (Azure Pipelines ou GitHub Actions) com etapas de aprovação do plano.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) apresentados nesta lição.

Nesta lição, aprendeu que: o Terraform é uma ferramenta de IaC independente de provedor de nuvem que usa o provedor AzureRM para gerenciar recursos do Azure; o fluxo de trabalho init, plan, apply permite implantações seguras e previsíveis; e o estado remoto no Azure Blob Storage é essencial para a colaboração em equipe. A seguir, exploraremos a criação de planos do App Service e Web Apps.