En el subcapítol anterior vam afegir una taula de DynamoDB al nostre backend «per al locking». Ara entendrem bé què és el state locking i per què és imprescindible quan diverses persones treballen sobre la mateixa infraestructura. És la peça que evita un dels pitjors desastres possibles amb Terraform: la corrupció de l’estat.

Recorda que l’estat (Capítol 11) és l’arxiu que registra quins recursos existeixen i com es relacionen. És la «font de la veritat» de Terraform. Ara imagina aquesta situació en un equip:

Si ambdós modifiquen l’estat al mateix temps, els seus canvis es barregen i es corrompen. L’arxiu d’estat pot quedar inconsistent: registres a mitges, recursos duplicats, o un estat que ja no reflecteix la realitat. Un estat corrupte és un malson: Terraform perd la noció de què existeix, i arreglar-ho a mà és lent i perillós.

Analogia: és com dues persones editant el mateix document alhora sense coordinació, cadascuna guardant per sobre de l’altra. El resultat és un document destrossat on es perden canvis i res té sentit. Necessites que, mentre un edita, l’altre esperi el seu torn.

El state locking (bloqueig de l’estat) resol això amb una regla senzilla: mentre algú està modificant l’estat, ningú més pot fer-ho alhora. Terraform posa un «cadenat» (lock) abans de començar a treballar i el treu en acabar.

Així, les operacions es serialitzen: passen una darrere l’altra, mai alhora. L’estat mai es corromp per accessos simultanis.

Aquí entra la taula de DynamoDB que vam configurar al subcapítol 20.1. Funciona com el «porter del cadenat»:

1. Quan algú executa apply (o plan), Terraform escriu un registre de bloqueig a la taula DynamoDB (a la clau LockID).
2. Si una altra persona intenta executar Terraform, aquest comprova la taula, veu que ja hi ha un bloqueig actiu i espera (o avisa que està bloquejat).
3. Quan el primer acaba, Terraform esborra el registre de bloqueig, alliberant el cadenat.

DynamoDB és ideal per això perquè garanteix operacions atòmiques i consistents: dues persones no poden «agafar el cadenat» alhora; només un guanya.

Si intentes executar Terraform mentre una altra persona té el cadenat, veuràs un missatge semblant a aquest:

Això t’indica qui té el bloqueig i des de quan. No és un error «dolent»: és Terraform protegint-te. Simplement esperes que l’altra persona acabi i ho tornes a intentar.

La bona notícia: un cop configurat el backend amb DynamoDB (subcapítol 20.1), el locking funciona sol, sense que hagis de fer res. Terraform posa i treu el cadenat automàticament a cada operació. Tu simplement treballes amb normalitat, i el sistema et protegeix per darrere.

Ocasionalment, un bloqueig pot quedar-se «enganxat»: per exemple, si la connexió d’algú es talla a mig apply, el cadenat podria no alliberar-se. En aquests casos rars, existeix el comandament terraform force-unlock per treure el cadenat manualment:

⚠️ Fes-lo servir amb moltíssima cura. Abans de forçar el desbloqueig, assegura’t que de veritat ningú està treballant sobre l’estat. Si forces el desbloqueig mentre una altra persona realment està aplicant canvis, tornes a arriscar-te a la corrupció que el locking pretenia evitar. Confirma sempre amb el teu equip primer.

El state locking, juntament amb l’estat remot (subcapítol 20.1), és el que fa que Terraform sigui segur en equip. Sense ell, la col·laboració seria una bomba de rellotgeria: tard o d’hora dues persones coincidirien i corromprien l’estat. Amb ell, desenes de persones poden treballar sobre la mateixa infraestructura sense por. És la base, juntament amb el flux de PR (subcapítol 12.5), del treball professional amb Terraform.

• Si dues persones modifiquen l’estat alhora, aquest es corromp (queda inconsistent), cosa que és un desastre difícil d’arreglar. Com dues persones editant el mateix document sense coordinació.
• El state locking (bloqueig) evita això: mentre algú treballa, posa un cadenat que impedeix que altres modifiquin l’estat alhora. Les operacions es serialitzen (una darrere l’altra).
• Amb el backend S3 + DynamoDB, el locking funciona automàticament: Terraform escriu un registre de bloqueig a DynamoDB en començar i l’esborra en acabar.
• Si l’estat està bloquejat, veuràs un missatge indicant qui el té; no és un error dolent, és protecció. Simplement esperes.
• En casos rars de bloqueig «encallat», existeix terraform force-unlock, però fes-lo servir amb extremada cura i només després de confirmar que ningú està treballant.

Al següent subcapítol veurem com moure l’estat entre backends de manera segura, una cosa necessària quan reorganitzes o migres la teva infraestructura.