Estado de Terraform: qué almacena, por qué se bloquea y cómo se manifiesta el drift

Qué es

La documentación del estado (citada) describe como su finalidad principal almacenar los vínculos entre los objetos de un sistema remoto y las instancias de recursos declaradas en la configuración: cuando Terraform crea un objeto remoto, registra su identidad asociada a la dirección del recurso, de modo que los cambios posteriores actualicen o eliminen ese mismo objeto. El estado es un archivo de texto JSON; por defecto reside en local como terraform.tfstate, y la documentación desaconseja guardarlo en control de versiones o en cualquier almacenamiento sin bloqueo ni control de acceso, ya que esto puede provocar pérdida de datos o exponer los secretos que contiene el archivo de estado.

Bloqueo (citado): si el backend lo admite, Terraform bloquea el estado, sin avisar, en toda operación que pueda escribirlo, y se niega a continuar cuando no puede obtener el bloqueo. force-unlock existe para el caso de un bloqueo que quedó tras la caída de una ejecución, y como medida de seguridad exige el ID del bloqueo.

Por qué importa

Si dos personas o dos pipelines aplican a la vez sin bloqueo, cada uno puede escribir un estado que omita los recursos del otro; el siguiente plan propondrá entonces recrear o destruir infraestructura real. El drift, es decir, un cambio hecho desde una consola o con otra herramienta, no es un error en sí mismo, pero permanece invisible hasta el siguiente plan, y la documentación de plan (citada) advierte de que aplicar de forma rutinaria con -target conduce a un drift de configuración no detectado.

Cómo aplicarlo

• Usa un backend remoto con bloqueo y control de versiones (almacenamiento de objetos más un mecanismo de bloqueo, o un backend alojado) y restringe el acceso de lectura tanto como el de escritura, porque el estado contiene valores de atributos como contraseñas generadas.
• Ejecuta terraform plan -refresh-only de forma programada para listar el drift sin proponer cambios en la configuración, y decide en cada hallazgo si incorporas el cambio al código o lo reviertes.
• Genera los planes con -out en CI y aplica exactamente ese plan guardado tras la revisión; usa -detailed-exitcode para que una comprobación falle cuando exista una diferencia.
• Mantén un estado por cada radio de impacto: separa los entornos y separa las bases de larga duración (redes, identidad) de los servicios que cambian con frecuencia.
• Mueve o renombra recursos con bloques moved en lugar de editar el estado a mano.

Trampas

terraform import o state rm cambian los vínculos sin tocar la infraestructura, por lo que el siguiente plan puede resultar sorprendente. Las actualizaciones de proveedores pueden reescribir los esquemas del estado. La página de estado citada advierte de que el archivo de estado puede contener secretos; marcar una variable como sensitive la oculta en la salida, pero no en el archivo.