Terraform na Azure: state management, módulos e workspaces

O Terraform (HashiCorp) é a ferramenta de IaC mais adoptada em ambientes multi-cloud. Na Azure, compete directamente com Bicep — a escolha depende de contexto: Terraform para multi-cloud ou equipas já experientes, Bicep para Azure-only com máxima integração.

Provider Azure e autenticação

terraform {
  required_providers {
    azurerm = { source = "hashicorp/azurerm", version = "~> 3.85" }
  }
  backend "azurerm" {
    resource_group_name  = "rg-terraform-state"
    storage_account_name = "staterraformstate"
    container_name       = "tfstate"
    key                  = "analytics-prod.tfstate"
  }
}

provider "azurerm" {
  features {}
  # Usa ARM_CLIENT_ID, ARM_CLIENT_SECRET, ARM_TENANT_ID, ARM_SUBSCRIPTION_ID
  # via env vars (nunca hardcoded)
}

Recursos básicos

variable "environment" { type = string }
variable "location"    { type = string, default = "westeurope" }

locals {
  prefix = "bconcepts-${var.environment}"
}

resource "azurerm_resource_group" "main" {
  name     = "rg-analytics-${var.environment}"
  location = var.location
}

resource "azurerm_storage_account" "datalake" {
  name                     = "sta${replace(local.prefix, "-", "")}"
  resource_group_name      = azurerm_resource_group.main.name
  location                 = var.location
  account_tier             = "Standard"
  account_replication_type = "LRS"
  is_hns_enabled           = true    # ADLS Gen2
}

Módulos reutilizáveis

# modules/keyvault/main.tf
variable "name"     {}
variable "rg_name"  {}
variable "location" {}

resource "azurerm_key_vault" "this" {
  name                = var.name
  resource_group_name = var.rg_name
  location            = var.location
  tenant_id           = data.azurerm_client_config.current.tenant_id
  sku_name            = "standard"
  enable_rbac_authorization = true
  soft_delete_retention_days = 90
}

# Usar o módulo:
module "keyvault" {
  source   = "./modules/keyvault"
  name     = "kv-${local.prefix}"
  rg_name  = azurerm_resource_group.main.name
  location = var.location
}

Workspaces para multi-ambiente

terraform workspace new dev
terraform workspace new prod

terraform workspace select dev
terraform apply -var="environment=dev"

terraform workspace select prod
terraform apply -var="environment=prod"

Conclusão

Terraform com remote state no Azure Blob Storage é o padrão para equipas que gerem infra multi-cloud ou que preferem HCL a Bicep. O state remoto com locking evita conflitos em deploys paralelos e mantém o histórico de alterações de infra auditável.