Terraform oder Ansible: Welches Werkzeug du wofür einsetzt

infra/
├── terraform/
│   ├── envs/
│   │   ├── prod/          # eigener State je Umgebung, nie ein gemeinsamer
│   │   └── stage/
│   └── modules/
│       └── app-node/      # nur Ressourcen, keine Softwarelogik
└── ansible/
    ├── inventories/
    │   └── prod/
    ├── roles/
    │   └── webserver/
    ├── requirements.yml
    └── site.yml

terraform {
  required_version = ">= 1.6"

  backend "s3" {
    bucket         = "tf-state-prod"
    key            = "app-node/terraform.tfstate"
    region         = "eu-central-1"
    encrypt        = true
    dynamodb_table = "tf-locks"   # Sperre gegen parallele Läufe
  }
}

terraform state list                       # was gehört diesem State überhaupt?
terraform state show 'aws_instance.node[0]'

# Eine einzelne Ressource neu bauen lassen, ersetzt das alte "terraform taint"
terraform apply -replace='module.app.aws_instance.node[0]'

# Von Hand angelegte Ressource nachträglich unter Verwaltung stellen
terraform import 'aws_instance.legacy' i-0abc123def456
terraform plan                             # muss danach "no changes" melden

resource "aws_instance" "node" {
  count         = var.node_count
  instance_type = var.instance_type
  ami           = var.ami_id

  tags = {
    Name = format("app-node-%02d", count.index + 1)
    env  = var.environment   # wird zur Filterbedingung
    role = "webserver"       # wird zum Gruppennamen im Inventar
  }
}

output "node_ids" {
  value = aws_instance.node[*].id
}

plugin: amazon.aws.aws_ec2
regions:
  - eu-central-1
filters:
  tag:env: prod
  instance-state-name: running
keyed_groups:
  - key: tags.role
    prefix: role
    separator: "_"
hostnames:
  - private-ip-address

# RHEL, Rocky, Alma liefern ansible-core über dnf mit
sudo dnf install -y ansible-core

# Auf Debian und Ubuntu hinkt das Paket der Collection-Welt oft hinterher,
# deshalb besser in eine eigene Umgebung
python3 -m venv ~/.venv/ansible
~/.venv/ansible/bin/pip install ansible-core ansible-lint
~/.venv/ansible/bin/ansible-galaxy collection install -r ansible/requirements.yml

cd ansible

# 1. Trockenlauf auf einem einzelnen Host
ansible-playbook -i inventories/prod site.yml --check --diff --limit web01

# 2. Echter Lauf auf demselben Host
ansible-playbook -i inventories/prod site.yml --diff --limit web01

# 3. Sofort noch einmal: im Recap muss changed=0 stehen
ansible-playbook -i inventories/prod site.yml --diff --limit web01 | tail -n 5

#!/usr/bin/env bash
set -euo pipefail

cd terraform/envs/prod
terraform init -input=false -backend=true

set +e
terraform plan -detailed-exitcode -input=false -lock-timeout=5m
rc=$?
set -e

case "$rc" in
  0) echo "Infrastruktur: kein Drift" ;;
  2) echo "Infrastruktur: Drift erkannt"; exit 1 ;;
  *) echo "Infrastruktur: Plan fehlgeschlagen"; exit "$rc" ;;
esac

#!/usr/bin/env bash
set -euo pipefail

cd ansible
ansible-playbook -i inventories/prod site.yml --check --diff | tee /tmp/drift.log

# Ansible liefert im Check-Modus keinen eigenen Exit-Code für Änderungen,
# also wird der Recap ausgewertet
if grep -qE 'changed=[1-9]' /tmp/drift.log; then
  echo "Konfigurations-Drift gefunden"
  exit 1
fi