12. provisioners と最終手段

なぜ非推奨なのか

HashiCorp 公式は "Provisioners are a last resort" と明言しています。理由:

• べき等性が壊れる: terraform は「あるべき状態」を表現する宣言型。手続き的なシェル実行は「何度走らせても同じ結果」を保てない
• 失敗時の挙動が複雑: provisioner が失敗するとリソースが tainted 状態になり、次の apply で再作成される
• state に何も残らない: シェルが何をしたかは Terraform が把握できない。差分検知不能
• 並列実行が難しい: 他の resource との依存解決がローカル実行に縛られる

3 種類の provisioner

local-exec（Terraform を実行している側で）

resource "aws_instance" "web" {
  ami           = data.aws_ami.al2023.id
  instance_type = "t3.micro"

  provisioner "local-exec" {
    command = "echo ${self.private_ip} >> ./hosts.txt"
  }
}

remote-exec（リソース上で SSH/WinRM 経由）

resource "aws_instance" "web" {
  # ...
  provisioner "remote-exec" {
    connection {
      type        = "ssh"
      user        = "ec2-user"
      private_key = file("~/.ssh/id_rsa")
      host        = self.public_ip
    }
    inline = [
      "sudo dnf install -y nginx",
      "sudo systemctl enable --now nginx",
    ]
  }
}

file（ファイル転送）

provisioner "file" {
  source      = "./conf/nginx.conf"
  destination = "/etc/nginx/nginx.conf"

  connection { /* 上と同じ */ }
}

creation-time と destroy-time

provisioner "local-exec" {
  when    = create   # デフォルト
  command = "echo created"
}

provisioner "local-exec" {
  when    = destroy
  command = "echo destroying ${self.id}"
  on_failure = continue   # 失敗しても止めない
}

• create: リソース作成直後（デフォルト）
• destroy: リソース削除前
• on_failure: fail（停止、デフォルト） / continue（次へ進む）

terraform_data（旧 null_resource）

「リソースとは紐づかないが provisioner を発火したい」時に使う。Terraform 1.4+ で terraform_data が登場し、null_resource（hashicorp/null provider 提供）の代替になりました。

resource "terraform_data" "build" {
  triggers_replace = {
    src_hash = filemd5("${path.module}/lambda/index.js")
  }

  provisioner "local-exec" {
    command = "npm run build && zip -r build.zip dist/"
  }
}

# Lambda はこの triggers_replace の変更で再作成
resource "aws_lambda_function" "app" {
  filename = "build.zip"
  # ...

  depends_on = [terraform_data.build]
}

代替案

provisioner を使う前に必ず検討する選択肢:

user_data の例（provisioner より圧倒的に推奨）

resource "aws_instance" "web" {
  ami           = data.aws_ami.al2023.id
  instance_type = "t3.micro"

  user_data = <<-EOT
    #!/bin/bash
    dnf update -y
    dnf install -y nginx
    systemctl enable --now nginx
  EOT

  user_data_replace_on_change = true
}

これなら state にハッシュが入り、内容変更で正しく再作成され、Terraform から見える挙動になります。