Ansible configure des machines. Docker empaquette des applications. Kubernetes les orchestre. Mais qui cr\u00e9e les machines, les r\u00e9seaux et les espaces de stockage eux-m\u00eames ? C’est le r\u00f4le du provisionnement d’infrastructure \u2014 et c’est pr\u00e9cis\u00e9ment ce que fait OpenTofu. Fork open source de Terraform n\u00e9 en 2023 sous l’\u00e9gide de la Linux Foundation, OpenTofu permet de d\u00e9crire l’int\u00e9gralit\u00e9 de son infrastructure sous forme de code d\u00e9claratif, versionnable et reproductible. Cet article pr\u00e9sente ses principes, son fonctionnement et sa place dans une stack auto-h\u00e9berg\u00e9e.<\/p>\n\n\n\n
En ao\u00fbt 2023, HashiCorp a chang\u00e9 la licence de Terraform de MPL 2.0 vers BSL (Business Source License), restreignant son usage en contexte concurrentiel. En r\u00e9ponse, la communaut\u00e9 open source a fork\u00e9 le projet sous le nom OpenTofu, plac\u00e9 sous la gouvernance de la Linux Foundation avec une licence Apache 2.0. Le code est compatible : les fichiers OpenTofu repose sur le paradigme d\u00e9claratif : on d\u00e9crit l’infrastructure cible dans des fichiers HCL (HashiCorp Configuration Language), et l’outil calcule les actions n\u00e9cessaires pour atteindre cet \u00e9tat. Le cycle de travail suit trois \u00e9tapes fondamentales :<\/p>\n\n\n\n 1. 2. 3. Ce cycle plan \u2192 apply<\/em> est la cl\u00e9 de vo\u00fbte du mod\u00e8le : on ne touche jamais l’infrastructure manuellement, on modifie le code et on laisse l’outil converger vers l’\u00e9tat souhait\u00e9.<\/p>\n\n\n\n Voici un exemple minimaliste pour cr\u00e9er un serveur chez Hetzner avec son r\u00e9seau priv\u00e9 :<\/p>\n\n\n\n En trois commandes ( Le fichier d’\u00e9tat ( OpenTofu s’int\u00e8gre naturellement dans une cha\u00eene d’outils existante. Voici un workflow typique :<\/p>\n\n\n\n OpenTofu<\/strong> provisionne les machines, r\u00e9seaux et volumes (couche infrastructure).<\/p>\n\n\n\n Ansible<\/strong> configure les machines provisionn\u00e9es : paquets, utilisateurs, cl\u00e9s SSH, Docker (couche configuration).<\/p>\n\n\n\n Docker Compose ou Kubernetes<\/strong> d\u00e9ploie les services applicatifs : CKAN, Keycloak, Nextcloud, Gitea (couche applicative).<\/p>\n\n\n\n Les outputs d’OpenTofu (adresses IP, identifiants r\u00e9seau) alimentent directement l’inventaire Ansible, cr\u00e9ant une cha\u00eene enti\u00e8rement automatis\u00e9e du bare metal \u00e0 l’application.<\/p>\n\n\n\n Pour \u00e9viter la duplication, OpenTofu permet d’encapsuler des ensembles de ressources dans des modules r\u00e9utilisables. Un module L’\u00e9cosyst\u00e8me de providers est vaste. Pour une infrastructure open source auto-h\u00e9berg\u00e9e, les plus pertinents sont :<\/p>\n\n\n\n \u2022 hcloud<\/strong> (Hetzner) \u2014 Serveurs, r\u00e9seaux, load balancers, volumes<\/p>\n\n\n\n \u2022 scaleway<\/strong> \u2014 Instances, object storage, bases manag\u00e9es<\/p>\n\n\n\n \u2022 ovh<\/strong> \u2014 Cloud public OVHcloud<\/p>\n\n\n\n \u2022 proxmox<\/strong> \u2014 VMs et conteneurs sur Proxmox VE<\/p>\n\n\n\n \u2022 cloudflare<\/strong> \u2014 DNS, tunnels, r\u00e8gles de s\u00e9curit\u00e9<\/p>\n\n\n\n \u2022 minio<\/strong> \u2014 Buckets et politiques sur MinIO<\/p>\n\n\n\n \u2022 postgresql<\/strong> \u2014 Bases, r\u00f4les et permissions<\/p>\n\n\n\n \u2022 keycloak<\/strong> \u2014 Realms, clients, mappers d’authentification<\/p>\n\n\n\n Versionner le code HCL dans Git<\/strong> \u2014 Chaque changement d’infrastructure passe par une merge request, avec review et plan automatique en CI.<\/p>\n\n\n\n S\u00e9parer les environnements<\/strong> \u2014 Utiliser des workspaces ou des r\u00e9pertoires distincts pour staging et production, avec des variables diff\u00e9rentes.<\/p>\n\n\n\n Ne jamais modifier le state \u00e0 la main<\/strong> \u2014 Utiliser Verrouiller les versions des providers<\/strong> \u2014 Le fichier Activer le chiffrement du state<\/strong> \u2014 Fonctionnalit\u00e9 native d’OpenTofu, absente chez Terraform, qui prot\u00e8ge les donn\u00e9es sensibles au repos.<\/p>\n\n\n\n La documentation officielle d’OpenTofu est disponible sur opentofu.org\/docs<\/a>. Le registre de providers, h\u00e9rit\u00e9 de l’\u00e9cosyst\u00e8me Terraform, reste accessible sur registry.terraform.io<\/a> \u2014 les providers sont compatibles. Pour une migration depuis Terraform, la commande OpenTofu : provisionner son infrastructure open source de mani\u00e8re d\u00e9clarative Ansible configure des machines. Docker empaquette des applications. Kubernetes les orchestre. Mais qui cr\u00e9e les machines, les r\u00e9seaux et les espaces de stockage eux-m\u00eames ? C’est le r\u00f4le du provisionnement d’infrastructure \u2014 et c’est pr\u00e9cis\u00e9ment ce que fait OpenTofu. Fork open source de Terraform n\u00e9 en 2023 […]<\/p>\n","protected":false},"author":1,"featured_media":2132,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ocean_post_layout":"","ocean_both_sidebars_style":"","ocean_both_sidebars_content_width":0,"ocean_both_sidebars_sidebars_width":0,"ocean_sidebar":"","ocean_second_sidebar":"","ocean_disable_margins":"enable","ocean_add_body_class":"","ocean_shortcode_before_top_bar":"","ocean_shortcode_after_top_bar":"","ocean_shortcode_before_header":"","ocean_shortcode_after_header":"","ocean_has_shortcode":"","ocean_shortcode_after_title":"","ocean_shortcode_before_footer_widgets":"","ocean_shortcode_after_footer_widgets":"","ocean_shortcode_before_footer_bottom":"","ocean_shortcode_after_footer_bottom":"","ocean_display_top_bar":"default","ocean_display_header":"default","ocean_header_style":"","ocean_center_header_left_menu":"","ocean_custom_header_template":"","ocean_custom_logo":0,"ocean_custom_retina_logo":0,"ocean_custom_logo_max_width":0,"ocean_custom_logo_tablet_max_width":0,"ocean_custom_logo_mobile_max_width":0,"ocean_custom_logo_max_height":0,"ocean_custom_logo_tablet_max_height":0,"ocean_custom_logo_mobile_max_height":0,"ocean_header_custom_menu":"","ocean_menu_typo_font_family":"","ocean_menu_typo_font_subset":"","ocean_menu_typo_font_size":0,"ocean_menu_typo_font_size_tablet":0,"ocean_menu_typo_font_size_mobile":0,"ocean_menu_typo_font_size_unit":"px","ocean_menu_typo_font_weight":"","ocean_menu_typo_font_weight_tablet":"","ocean_menu_typo_font_weight_mobile":"","ocean_menu_typo_transform":"","ocean_menu_typo_transform_tablet":"","ocean_menu_typo_transform_mobile":"","ocean_menu_typo_line_height":0,"ocean_menu_typo_line_height_tablet":0,"ocean_menu_typo_line_height_mobile":0,"ocean_menu_typo_line_height_unit":"","ocean_menu_typo_spacing":0,"ocean_menu_typo_spacing_tablet":0,"ocean_menu_typo_spacing_mobile":0,"ocean_menu_typo_spacing_unit":"","ocean_menu_link_color":"","ocean_menu_link_color_hover":"","ocean_menu_link_color_active":"","ocean_menu_link_background":"","ocean_menu_link_hover_background":"","ocean_menu_link_active_background":"","ocean_menu_social_links_bg":"","ocean_menu_social_hover_links_bg":"","ocean_menu_social_links_color":"","ocean_menu_social_hover_links_color":"","ocean_disable_title":"default","ocean_disable_heading":"default","ocean_post_title":"","ocean_post_subheading":"","ocean_post_title_style":"","ocean_post_title_background_color":"","ocean_post_title_background":0,"ocean_post_title_bg_image_position":"","ocean_post_title_bg_image_attachment":"","ocean_post_title_bg_image_repeat":"","ocean_post_title_bg_image_size":"","ocean_post_title_height":0,"ocean_post_title_bg_overlay":0.5,"ocean_post_title_bg_overlay_color":"","ocean_disable_breadcrumbs":"default","ocean_breadcrumbs_color":"","ocean_breadcrumbs_separator_color":"","ocean_breadcrumbs_links_color":"","ocean_breadcrumbs_links_hover_color":"","ocean_display_footer_widgets":"default","ocean_display_footer_bottom":"default","ocean_custom_footer_template":"","osh_disable_topbar_sticky":"default","osh_disable_header_sticky":"default","osh_sticky_header_style":"default","osh_sticky_header_effect":"","osh_custom_sticky_logo":0,"osh_custom_retina_sticky_logo":0,"osh_custom_sticky_logo_height":0,"osh_background_color":"","osh_links_color":"","osh_links_hover_color":"","osh_links_active_color":"","osh_links_bg_color":"","osh_links_hover_bg_color":"","osh_links_active_bg_color":"","osh_menu_social_links_color":"","osh_menu_social_hover_links_color":"","ocean_post_oembed":"","ocean_post_self_hosted_media":"","ocean_post_video_embed":"","ocean_link_format":"","ocean_link_format_target":"self","ocean_quote_format":"","ocean_quote_format_link":"post","ocean_gallery_link_images":"on","ocean_gallery_id":[],"footnotes":""},"categories":[18],"tags":[],"class_list":["post-2131","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-devops","entry","has-media"],"yoast_head":"\n.tf<\/code> existants fonctionnent sans modification. La diff\u00e9rence est strat\u00e9gique, pas technique \u2014 OpenTofu garantit que l’outil reste libre, sans restriction d’usage.<\/p>\n\n\n\nLe principe : d\u00e9clarer l’\u00e9tat d\u00e9sir\u00e9<\/h2>\n\n\n\n
tofu init<\/code><\/strong> \u2014 Initialise le r\u00e9pertoire de travail, t\u00e9l\u00e9charge les providers (plugins qui interfacent avec les API des fournisseurs : Hetzner, OVH, Scaleway, Proxmox, AWS, etc.).<\/p>\n\n\n\ntofu plan<\/code><\/strong> \u2014 Compare l’\u00e9tat actuel (stock\u00e9 dans un fichier terraform.tfstate<\/code>) avec la configuration d\u00e9clar\u00e9e et affiche les changements pr\u00e9vus : cr\u00e9ations, modifications, suppressions.<\/p>\n\n\n\ntofu apply<\/code><\/strong> \u2014 Ex\u00e9cute le plan apr\u00e8s confirmation. Les ressources sont cr\u00e9\u00e9es, modifi\u00e9es ou d\u00e9truites via les API des providers.<\/p>\n\n\n\nExemple concret : provisionner un serveur et son r\u00e9seau<\/h2>\n\n\n\n
terraform {\n required_providers {\n hcloud = {\n source = \"hetznercloud\/hcloud\"\n version = \"~> 1.45\"\n }\n }\n}\n\nvariable \"hcloud_token\" {\n sensitive = true\n}\n\nprovider \"hcloud\" {\n token = var.hcloud_token\n}\n\nresource \"hcloud_network\" \"internal\" {\n name = \"stack-network\"\n ip_range = \"10.0.0.0\/16\"\n}\n\nresource \"hcloud_network_subnet\" \"services\" {\n network_id = hcloud_network.internal.id\n type = \"cloud\"\n network_zone = \"eu-central\"\n ip_range = \"10.0.1.0\/24\"\n}\n\nresource \"hcloud_server\" \"node1\" {\n name = \"node-prod-01\"\n server_type = \"cx31\"\n image = \"ubuntu-22.04\"\n location = \"fsn1\"\n\n network {\n network_id = hcloud_network.internal.id\n ip = \"10.0.1.10\"\n }\n}\n\noutput \"server_ip\" {\n value = hcloud_server.node1.ipv4_address\n}<\/code><\/pre>\n\n\n\ntofu init<\/code>, tofu plan<\/code>, tofu apply<\/code>), le serveur et le r\u00e9seau sont cr\u00e9\u00e9s. L’\u00e9tat est enregistr\u00e9 localement dans terraform.tfstate<\/code>. Toute modification ult\u00e9rieure du fichier HCL sera d\u00e9tect\u00e9e par tofu plan<\/code> et appliqu\u00e9e de mani\u00e8re incr\u00e9mentale.<\/p>\n\n\n\nG\u00e9rer le state : le nerf de la guerre<\/h2>\n\n\n\n
.tfstate<\/code>) est la m\u00e9moire d’OpenTofu : il contient la correspondance entre les ressources d\u00e9clar\u00e9es et les ressources r\u00e9elles. En \u00e9quipe ou en CI\/CD, ce fichier doit \u00eatre partag\u00e9 et verrouill\u00e9. Plusieurs backends sont disponibles : stockage S3 (MinIO pour du auto-h\u00e9berg\u00e9), PostgreSQL, Consul, ou un simple partage NFS s\u00e9curis\u00e9. OpenTofu ajoute une fonctionnalit\u00e9 absente de Terraform : le chiffrement natif du state, permettant de stocker l’\u00e9tat sur un backend non chiffr\u00e9 sans exposer les secrets qu’il contient.<\/p>\n\n\n\nInt\u00e9gration dans une stack auto-h\u00e9berg\u00e9e<\/h2>\n\n\n\n
Modules et r\u00e9utilisation<\/h2>\n\n\n\n
base-server<\/code> peut cr\u00e9er un serveur, son r\u00e9seau, son volume de donn\u00e9es et ses r\u00e8gles de pare-feu. Il suffit ensuite de l’instancier avec des param\u00e8tres diff\u00e9rents pour chaque environnement (staging, production). Les modules peuvent \u00eatre versionn\u00e9s dans un d\u00e9p\u00f4t Git et r\u00e9f\u00e9renc\u00e9s directement dans la configuration HCL.<\/p>\n\n\n\nProviders utiles pour l’auto-h\u00e9bergement<\/h2>\n\n\n\n
Bonnes pratiques<\/h2>\n\n\n\n
tofu state mv<\/code>, tofu import<\/code> ou tofu state rm<\/code> pour les op\u00e9rations de maintenance.<\/p>\n\n\n\n.terraform.lock.hcl<\/code> garantit la reproductibilit\u00e9 des d\u00e9ploiements.<\/p>\n\n\n\nPour aller plus loin<\/h2>\n\n\n\n
tofu init -migrate-state<\/code> g\u00e8re la transition.<\/p>","protected":false},"excerpt":{"rendered":"