Mobile-Menu

Bedingtes Löschverbot und getrennte State-Entfernung OpenTofu: Feinere Kontrolle über den Infrastruktur-State

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

VON ZUR MÜHLEN'SCHE GmbH
Data Center Group GmbH
DeRZ - Deutsche Rechenzentren GmbH

Deklarative Infrastruktur-Verwaltung steuert Rechenzentren über Code, doch der Zustand im State-File bleibt heikel. Ein Fehlgriff löscht produktive Ressourcen oder blockiert das Team über eine hängende Sperre. Die aktuelle OpenTofu-Linie verfeinert diese Punkte und gibt Administratoren mehr Sicherheit bei riskanten Vorgängen.

OpenTofu: Feinere Kontrolle über den Infrastruktur-State(Bild: Thomas Joos)
OpenTofu: Feinere Kontrolle über den Infrastruktur-State
(Bild: Thomas Joos)

Das OpenTofu-Projekt veröffentlicht mit der Linie 1.12 mehrere Betriebsfunktionen, nachzulesen in den Release-Notes auf GitHub. OpenTofu bleibt der quelloffene, unter MPL 2.0 stehende Ableger von Terraform und arbeitet als direkter Ersatz mit derselben Konfigurationssprache. Nach dem Lizenzwechsel von Terraform auf die Business Source License wechselten viele Teams auf den offenen Zweig, der unter einer freien Lizenz steht und ohne Bindung an einen Anbieter läuft. Die jüngsten Versionen bis 1.12.3 aus dem Juni 2026 setzen den Schwerpunkt auf den sicheren Umgang mit dem Zustand einer Umgebung.

Löschschutz je nach Bedingung

Bisher galt der Löschschutz prevent_destroy als fester Wert im Code. Die neue Linie macht ihn dynamisch und wertet Variablen sowie andere Ausdrücke im selben Modul aus. Ein Produktivsystem sperrt sich so gegen Löschung, eine Testumgebung gibt sie frei, ganz ohne getrennte Module. Ergänzend führt OpenTofu die Lifecycle-Option destroy = false ein. Damit entfernt das Team ein Objekt aus dem State, ohne den zugehörigen Löschbefehl an die Provider-API zu senden. Für Migrationen und Umbauten trennt das den Buchhaltungsschritt vom realen Eingriff an der Infrastruktur.

Zustand sperren und auslesen

Die 1.12-Linie stärkt zudem die Zusammenarbeit im Team. Das S3-Backend sperrt den State über eine eigene Sperrdatei und kommt ohne einen zusätzlichen DynamoDB-Dienst aus, was den Betrieb in eigenen Rechenzentren vereinfacht. Für die Automatisierung schreibt der Parameter -json-into die maschinenlesbare Ausgabe in eine Datei und hält die lesbare Ausgabe im Terminal parallel bereit. So verarbeiten Pipelines das Ergebnis strukturiert, ohne die Protokollzeilen für den Menschen zu verlieren. Das State-File enthält oft sensible Werte, daher zahlt sich eine verlässliche Sperre im Team-Betrieb aus.

Bausteine aus der eigenen Registry

OpenTofu bezieht Provider und Module auch aus OCI-Registries und nutzt dafür die vorhandene Container-Registry im Rechenzentrum als Verteilweg. Ein Team hält interne Bausteine so im eigenen Haus, ohne einen öffentlichen Dienst. Zusätzlich liefert die Registry Prüfsummen für Provider in allen benötigten Formaten, sodass ein separater Schritt zum Sperren der Abhängigkeiten wegfällt und der Lock-Eintrag von Beginn an vollständig ist. Für Rechenzentren ohne durchgehenden Internetzugang bleibt die Verteilung damit vollständig im internen Netz.

Fazit

OpenTofu schärft mit der Linie 1.12 den Umgang mit heiklen Vorgängen im Rechenzentrum. Bedingter Löschschutz, ein geordneter Weg zum Entfernen aus dem State und ein Sperrmechanismus ohne Fremddienst verringern das Risiko manueller Fehler. Der Funktionsumfang hält den Abstand zur kommerziellen Vorlage gering und bleibt für den Wechsel offen.

(ID:50891673)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte