Die meisten führen terraform apply direkt aus und schauen zu, was passiert. Dabei zeigt terraform plan vorher exakt, was passieren würde.

Ein apply ohne Blick auf den Plan ist ein Commit ohne Diff: Man weiß nicht, was gelöscht oder neu gebaut wird. Der Plan kostet Sekunden und verhindert teure Überraschungen.

📦 terraform plan zeigt jede Änderung mit einem Vorzeichen am Zeilenanfang. Plus bedeutet neu erstellen, Minus löschen, Tilde verändern. Etwa „+ aws_instance.web“ heißt: Diese Ressource wird neu gebaut, nicht nur geändert.

🔑 Drift wird erst im Plan sichtbar, also Abweichungen zwischen State und echter Infrastruktur. Der State ist Terraforms Datei, die Konfiguration und reale Ressourcen einander zuordnet. Wer eine Sicherheitsgruppe manuell in der Konsole ändert, sieht das im Plan als Tilde.

📈 Mit terraform plan -out=plan.tfplan wird der Plan als binäre Datei gespeichert. Sie enthält neben den Änderungen auch den damaligen Zustand. Anschließend setzt terraform apply plan.tfplan genau diesen Stand um, nichts anderes. Der Einsteigerirrtum: apply ohne Datei erneut ausführen und glauben, der zuvor gesehene Plan werde umgesetzt. Ohne Datei erzeugt apply einen neuen Plan. Hat sich die Realität inzwischen geändert, etwa durch einen Kollegen, wird etwas anderes ausgeführt als geprüft wurde. Deshalb gilt: prüfen, speichern, genau diese Datei anwenden. In Pipelines mit manueller Freigabe ist der gespeicherte Plan das Kontrollmittel: Geprüftes und Ausgeführtes sind identisch. Eine fest gepinnte Provider-Version hält Plan und Ausführung reproduzierbar.

Gespeichert heißt nicht bestätigt, sondern eingefroren: apply führt genau den geprüften Stand aus. Ohne Datei heißt apply „neu planen“, nie „wie gerade gesehen“.

📌 terraform plan · Plan-Datei · Drift

📚 Cloud von Grund auf · Tag 5 von 30
#Terraform #iac #devops