Ja saps que l'estat és l'inventari de Terraform. La següent pregunta és: on es guarda aquest inventari? Per defecte, al teu propi ordinador. Però això causa problemes quan treballes en equip. En aquest subcapítol veurem la diferència entre estat local i remot, i com configurar el clàssic backend de S3 + DynamoDB, una de les pràctiques més importants de Terraform professional.

Per defecte, Terraform guarda l'estat en un fitxer terraform.tfstate a la carpeta del teu projecte, al teu ordinador. Això s'anomena estat local.

Per aprendre i experimentar tu sol, està bé. Però té problemes greus quan la cosa es posa seriosa:

Si l'estat està al teu portàtil, els teus companys no el tenen. Cadascú tindria la seva pròpia versió de l'estat, que es contradiuen entre si. Impossible treballar en equip.

Si el teu portàtil es trenca, es perd o esborres la carpeta per error, perds l'estat. I ja saps (subcapítol 11.2) com de greu és perdre l'estat: Terraform «s'oblida» de tot el que gestiona.

Si dues persones executessin apply alhora sobre la mateixa infraestructura, podrien corrompre l'estat o trepitjar-se els canvis. L'estat local no té manera d'evitar-ho.

Un fitxer amb dades sensibles (subcapítol 11.2) al teu portàtil, sense xifrar, és un risc.

L'estat remot guarda el tfstate en un lloc central i compartit (al núvol), en lloc del teu ordinador. Això resol tots els problemes anteriors:

• Col·laboració: tot l'equip llegeix i escriu el mateix estat central.
• Seguretat: es guarda xifrat i protegit.
• Durabilitat: no es perd si falla el teu portàtil.
• Bloqueig: evita que dues persones modifiquin alhora (ho veurem tot seguit).

A la configuració d'on es guarda l'estat se l'anomena backend. Hi ha diversos tipus de backend remot; el més clàssic a AWS és S3 + DynamoDB.

Aquesta combinació utilitza dos serveis que ja coneixes de la Part II:

Analogia:

• S3 és la caixa forta compartida on es guarda l'inventari (l'estat), accessible per tot l'equip, segura i amb còpia de seguretat.
• DynamoDB és el sistema de "ocupat/lliure" d'un lavabo: quan algú està utilitzant l'estat (executant apply), posa el cartell de «ocupat» (un bloqueig) perquè ningú més entri fins que acabi.

• Durador (recorda els «onze nous» del Capítol 5): gairebé impossible perdre'l.
• Xifrat en repòs: protegeix les dades sensibles.
• Versionat (subcapítol 5.3): guarda l'historial de l'estat, així pots recuperar una versió anterior si alguna cosa va malament.
• Compartit: tot l'equip accedeix al mateix fitxer.

DynamoDB gestiona un «cadenat»: abans de modificar l'estat, Terraform posa un bloqueig en una taula de DynamoDB. Mentre aquest bloqueig existeix, ningú més pot executar apply. Quan acaba, l'allibera. Així s'evita la corrupció per accessos simultanis. Veurem el locking a fons al Capítol 20.

Nota: Versions recents de Terraform/S3 permeten gestionar el bloqueig directament a S3 sense DynamoDB. Però el patró S3 + DynamoDB segueix sent el més conegut i el que veuràs a la majoria de projectes i documentació.

La configuració del backend es declara al bloc terraform:

• bucket: el bucket de S3 on es guarda l'estat.
• key: la «ruta» dins del bucket (organitza estats de diferents projectes/entorns).
• dynamodb_table: la taula per al bloqueig.
• encrypt = true: xifra l'estat.

Després d'escriure això, executes terraform init i Terraform configura el backend. Veurem els detalls pas a pas al Capítol 20.

El problema de l'ou i la gallina: per guardar l'estat a S3, necessites un bucket de S3… però aquest bucket també és infraestructura. La solució habitual: crear el bucket i la taula una vegada (a mà o amb un petit Terraform d'estat local) i després utilitzar-los com a backend per a tot la resta. Ho veurem al Capítol 20.

• Per defecte, l'estat és local (al teu ordinador): serveix per aprendre sol, però no per a equips ni producció.
• L'estat remot el guarda en un lloc central i compartit (un backend), resolent col·laboració, seguretat, durabilitat i bloqueig.
• El backend clàssic a AWS és S3 + DynamoDB: S3 guarda l'estat (xifrat, versionat, durador) i DynamoDB gestiona el bloqueig (evita dos apply simultanis).
• Es configura al bloc terraform { backend "s3" { ... } } i s'activa amb terraform init.
• Per a qualsevol projecte seriós o en equip, utilitza estat remot. Ho veurem en detall al Capítol 20.

A l'últim subcapítol d'aquest capítol repassarem els comandaments essencials de Terraform que utilitzaràs diàriament: init, plan, apply, destroy, fmt i validate.