Arribem a un dels conceptes més característics —i al principi confusos— de Terraform: l’estat (state). És el que fa que Terraform sigui idempotent i intel·ligent, però també una de les coses que més problemes causa si no s’entén bé. Anem a desmitificar-lo completament.

Recorda l’enfoc declaratiu (subcapítol 9.2): tu declares el que vols i Terraform fa que la realitat coincideixi. Però per això, Terraform necessita respondre una pregunta crucial:

«Què he creat ja, i què falta o sobra?»

Sense una resposta, Terraform no sabria si ha de crear un recurs nou, modificar-ne un d’existent o no fer res. Necessita recordar quins recursos gestiona i quin és el seu estat actual. Aquesta memòria és el fitxer d’estat.

L’estat és un arxiu (per defecte anomenat terraform.tfstate) on Terraform registra tots els recursos que gestiona i la seva informació: què ha creat, amb quins IDs, amb quina configuració.

Analogia: L’estat és l’inventari de Terraform. És com la llibreta on un magatzemer apunta tot el que té: «tinc 3 servidors amb aquests IDs, 1 bucket anomenat així, 2 subxarxes amb aquests rangs…». Sense aquesta llibreta, no sabria què hi ha ni què ha canviat.

L’arxiu està en format JSON i mapatgeja el que has escrit al teu codi amb els recursos reals a AWS:

Cada vegada que executes plan o apply, Terraform:

1. Llegeix l’estat per saber què creu que existeix.
2. Consulta la realitat a AWS (què hi ha de veritat).
3. Compara les tres coses: el teu codi (el desitjat), l’estat (el que creu que hi ha) i la realitat (el que hi ha).
4. Calcula les diferències i decideix què crear, modificar o destruir.

Per això l’estat és essencial: és la referència que permet a Terraform detectar canvis i ser idempotent.

L’estat no és un arxiu qualsevol. Té diverses propietats crítiques:

Terraform confia en l’estat per saber què gestiona. Si l’estat es perd o es corromp, Terraform «s’oblida» dels recursos que ha creat i pot comportar-se de manera perillosa (intentar recrear coses, o deixar recursos orfes que segueixen costant diners).

L’estat pot incloure informació sensible en text pla: contrasenyes de bases de dades, claus, dades privades de recursos. Per això:

⚠️ Regles de seguretat de l’estat:

• MAI pugis el terraform.tfstate a un repositori Git públic (ni privat sense xifrar). Podries filtrar secrets.
• Afegeix terraform.tfstate i *.tfstate.* al teu .gitignore sempre.
• Per a equips, desa l’estat en un backend remot xifrat (subcapítol 11.3).

El fitxer d’estat no s’ha de modificar manualment. Està pensat perquè Terraform el gestioni. Editar-lo a mà pot corrompre’l. Si necessites manipular-lo, hi ha ordres específiques (com terraform state mv, terraform state rm) fetes per a això.

L’estat també ajuda a detectar el drift (recorda el Capítol 9): si algú canvia alguna cosa manualment a la consola d’AWS, la realitat ja no coincideix amb l’estat. La propera vegada que executis plan, Terraform ho detectarà i t’avisarà:

«Ei, aquest recurs ha canviat fora de Terraform. El teu codi diu una cosa, però la realitat n’és una altra.»

Això et permet reconciliar la situació: o ajustes el teu codi, o deixes que Terraform torni el recurs a l’estat declarat. És un dels grans avantatges de tenir un estat.

Perquè sàpigues que existeixen (els faràs servir més endavant):

• L’estat (terraform.tfstate) és l’inventari on Terraform registra els recursos que gestiona i la seva informació.
• És essencial perquè Terraform compari el desitjat (codi), el registrat (estat) i el real (AWS), i així calcular els canvis. És la base de la idempotència.
• És delicat: si es perd o es corromp, Terraform «s’oblida» dels teus recursos. Tracta’l amb cura.
• Conté dades sensibles: mai el pugis a Git; afegeix-lo al .gitignore i, en equip, utilitza un backend remot xifrat.
• No l’editis a mà: utilitza les ordres terraform state ... si necessites manipular-lo.
• L’estat permet detectar el drift (canvis fets manualment fora de Terraform).

Al següent subcapítol veurem un tema clau per treballar en equip: l’estat local vs remot, i com desar-lo de manera segura i compartida amb S3 i DynamoDB.