how/workflow

Граф зависимостей: что Terraform параллелит, а что блокирует

Откуда Terraform узнаёт, в каком порядке создавать ресурсы. Граф из implicit-refs, параллельные «слои», и почему destroy идёт ровно в обратном направлении.

Когда ты пишешь:

hcl

resource "aws_s3_bucket" "demo" {

  bucket = "linuxlab-${random_id.suffix.hex}"

ты неявно сказал Terraform: aws_s3_bucket.demo зависит от random_id.suffix. Не потому что ты так сказал, а потому что в имени бакета лежит ссылка на атрибут другого ресурса. Это и есть implicit reference.

Terraform читает все такие ссылки, строит из них направленный ациклический граф (DAG) и сам решает, что создавать сначала, что потом, а что - параллельно. Жми ▶ - посмотрим, как это выглядит на пяти ресурсах.

step 1/6·00 · пять ресурсов в HCL

§ шаги

Учебный пример: bucket, который зависит от random_id (для уникального имени), IAM-роль, IAM-политика (привязана к роли), attachment (требует и роль, и политику).

В HCL зависимости не записаны явно. Terraform увидит их сам в момент следующей команды.

итого

Что важно запомнить:

Зависимости вычисляются из кода. Любая ссылка A.B.C в значениях ресурса X автоматически создаёт ребро A → X.
Если зависимость есть, но её не видно в коде (например, IAM-роль должна существовать до того, как Lambda попробует ассумнуться, и Lambda этой роли в HCL не упоминает), пишут tf-depends-on явно. Это редкий случай, не первая опция.
Внутри одного слоя графа Terraform создаёт ресурсы параллельно (по умолчанию до 10 одновременно, флаг -parallelism=N). Поэтому большие конфиги быстрее, чем кажется.
На destroy граф разворачивается: листья (никто от них не зависит) удаляются первыми, корни (от которых зависят другие) - последними.
Циклы в графе = ошибка Error: Cycle. Terraform отказывается работать, пока ты её не разрулишь (обычно через рефакторинг или null_resource с break-the-cycle логикой). См. tf-dag-internals.

Дальше: tf-module-io-flow про то, как граф пересекает границы модулей.

§ копнуть в базу знаний

§ попробовать руками

§ шаги

Учебный пример: bucket, который зависит от random_id (для уникального имени), IAM-роль, IAM-политика (привязана к роли), attachment (требует и роль, и политику).

В HCL зависимости не записаны явно. Terraform увидит их сам в момент следующей команды.