Tanquem el capítol de gestió d'entorns veient en detall com es passen els valors a Terraform: els fitxers .tfvars i les variables d'entorn. Ja els hem esmentat de passada; ara entendràs bé com separar la configuració (els valors que canvien) del codi (la lògica que es queda igual). Aquesta separació és clau per gestionar entorns de manera neta.

Recorda les variables del Capítol 10. Una variable és un «forat» al teu codi que s’omple amb un valor des de fora:

El codi fa servir var.tipus_instancia, però no fixa el valor. D’on surt aquest valor? Hi ha diverses maneres de proporcionar-lo, i aquí les veiem.

Un fitxer .tfvars és un fitxer on assignes valors a les variables. És la forma més habitual i ordenada de configurar un entorn. Per exemple:

Fixa’t en la idea clau: el codi és el mateix, però cada fitxer .tfvars li dóna valors diferents. Això és exactament el que permet fer servir la mateixa lògica per a diversos entorns (subcapítol 19.2).

Indiques a Terraform quin fitxer de valors utilitzar amb l’opció -var-file:

Cas especial — terraform.tfvars: si anomenes un fitxer exactament terraform.tfvars, Terraform el carrega automàticament sense que hagis d’indicar-ho. Per això, en l’estratègia de directoris (subcapítol 19.2), cada carpeta d’entorn sol tenir el seu propi terraform.tfvars que s’aplica sol.

Analogia: el codi Terraform és com una plantilla de carta amb forats («Benvolgut ___, la seva comanda ___ està llesta»). Els fitxers .tfvars són les dades que omplen els forats per a cada destinatari. Una plantilla, moltes cartes personalitzades. Canvies les dades, no la plantilla.

Una altra manera de donar valors a les variables és a través de variables d’entorn del sistema operatiu, fent servir el prefix TF_VAR_:

Terraform llegeix automàticament qualsevol variable d’entorn que comenci per TF_VAR_ i l’assigna a la variable corresponent (aquí, tipus_instancia).

Quan s’utilitza això? Sobretot en dos casos:

• En automatització (CI/CD, Capítol 22): els sistemes automàtics solen passar els valors com a variables d’entorn, sense fitxers.
• Per a dades sensibles (secrets): com veurem tot seguit, les contrasenyes i claus no han d’anar en fitxers .tfvars que es pugen a Git; les variables d’entorn són una manera de passar-les sense escriure-les en cap fitxer del repositori.

Com que hi ha diverses maneres de donar valors, Terraform segueix un ordre de prioritat si un mateix valor es defineix en diversos llocs (de menor a major prioritat, a grans trets):

No cal memoritzar-ho, però queda’t amb la idea: si defineixes un valor en diversos llocs, guanya el més específic/directe. En cas de dubte, el que poses a la línia de comandes mana sobre la resta.

Això és crític. Els teus fitxers .tfvars amb la configuració normal (mides, noms) es guarden a Git sense problema. Però MAI has de posar dades sensibles —contrasenyes de bases de dades, claus d’API, tokens— en fitxers .tfvars que puges al repositori. Si ho fas, aquests secrets queden exposats a l’historial de Git per a qualsevol que hi accedeixi.

Les formes correctes de gestionar secrets:

• Variables d’entorn (TF_VAR_password), que no queden en cap fitxer del repo.
• Gestors de secrets com AWS Secrets Manager o Parameter Store (que veurem al Capítol 23): Terraform els llegeix al moment, sense que el secret s’escrigui mai al codi.
• Afegir els fitxers .tfvars amb secrets al .gitignore perquè mai es pugin.

Recorda també (del Capítol 11) que el mateix estat pot contenir dades sensibles, per la qual cosa el backend remot ha d’estar xifrat i amb accés restringit. La gestió de secrets és un tema seriós que reprendrem en profunditat al Capítol 23.

• Les variables deixen «forats» al codi; els valors es proporcionen des de fora, separant la configuració del codi (la mateixa lògica serveix per a diversos entorns).
• Els fitxers .tfvars són la forma principal d’assignar valors; fas servir -var-file="entorn.tfvars", i un fitxer anomenat terraform.tfvars es carrega automàticament.
• Les variables d’entorn amb prefix TF_VAR_ són una altra manera de passar valors, útil en CI/CD i per a secrets.
• Hi ha un ordre de prioritat quan un valor es defineix en diversos llocs: guanya el més directe (línia de comandes > entorn > fitxers > default).
• ⚠️ Seguretat crítica: mai posis secrets (contrasenyes, claus) en .tfvars versionats a Git. Fes servir variables d’entorn, gestors de secrets (Secrets Manager, Capítol 23) i .gitignore.

Has acabat el Capítol 19! Ja saps gestionar múltiples entorns de manera neta i segura. Al Capítol 20 aprofundirem en un dels temes més importants per treballar en equip: els backends remots i el locking de l’estat.