TerraformのState（tfstate）完全解説｜チーム開発で絶対に知っておくべき仕組み

// terraform.tfstate の中身（例）
{
  "version": 4,
  "terraform_version": "1.9.8",
  "resources": [
    {
      "type": "aws_s3_bucket",
      "name": "my_bucket",
      "instances": [
        {
          "attributes": {
            "id": "my-example-bucket",
            "bucket": "my-example-bucket",
            "region": "ap-northeast-1",
            ...
          }
        }
      ]
    }
  ]
}

コード（.tf）       tfstate（前回の状態）
     ↓                    ↓
        差分を計算
             ↓
       実際のAWSに適用

【ローカルStateの問題】
開発者A: terraform apply → tfstateがAのPCに保存
開発者B: terraform apply → BのPCにあるtfstateは古い！
             ↓
      二重実行で環境が壊れる

# bootstrap/main.tf
# このリソース自体はコンソールで作るか、一度だけ別途applyする

resource "aws_s3_bucket" "tfstate" {
  bucket = "my-tfstate-bucket-xxxxxxx"  # 世界でユニークな名前
}

resource "aws_s3_bucket_versioning" "tfstate" {
  bucket = aws_s3_bucket.tfstate.id
  versioning_configuration {
    status = "Enabled"  # バージョニングは必須！
  }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "tfstate" {
  bucket = aws_s3_bucket.tfstate.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "AES256"
    }
  }
}

# 状態ロック用のDynamoDBテーブル
resource "aws_dynamodb_table" "tfstate_lock" {
  name         = "terraform-state-lock"
  billing_mode = "PAY_PER_REQUEST"
  hash_key     = "LockID"

  attribute {
    name = "LockID"
    type = "S"
  }
}

terraform {
  required_version = ">= 1.9.0"

  backend "s3" {
    bucket         = "my-tfstate-bucket-xxxxxxx"
    key            = "production/terraform.tfstate"  # 保存先のパス
    region         = "ap-northeast-1"
    dynamodb_table = "terraform-state-lock"  # ロック用テーブル
    encrypt        = true
  }

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

開発者A: terraform apply開始 → DynamoDBにロック取得
開発者B: terraform apply開始 → ロック中！待機 or エラー
開発者A: apply完了 → ロック解除
開発者B: ロック取得 → apply開始

terraform state list

# 出力例
aws_instance.web
aws_s3_bucket.my_bucket
aws_vpc.main

terraform state show aws_s3_bucket.my_bucket

# コード上で aws_s3_bucket.old → aws_s3_bucket.new に変えた場合
terraform state mv aws_s3_bucket.old aws_s3_bucket.new

terraform state rm aws_s3_bucket.my_bucket

# Terraform 1.5以降はimportブロックで書ける
import {
  to = aws_s3_bucket.existing
  id = "existing-bucket-name"
}

terraform import aws_s3_bucket.existing existing-bucket-name

✅ DO
- S3 + DynamoDBでRemote State管理する
- S3バケットのバージョニングを有効にする（誤操作からの復元用）
- S3バケットの暗号化を有効にする

❌ DON'T
- tfstateをGitにコミットしない（機密情報が含まれる）
- tfstateを手動で編集しない
- ローカルのtfstateをチームで使わない