terraform apply -targetの使い所と危険な乱用パターン｜ピンポイント変更の判断基準と安全な運用設計

この記事のポイント

・terraform apply -targetは「緊急避難のオプション」であり通常運用向けではない
・乱用するとtfstateの整合性が崩れ、次の全体applyで予期しない変更が発生する
・正当な用途は「壊れたリソースのピンポイント再作成」「ドリフトした単一リソースの修正」の2つ
・-targetに頼る設計はモジュール分割やdepends_onで根本解決できる

# 特定リソースのみ適用
terraform apply -target="aws_instance.web"

# モジュール全体を対象にすることもできる
terraform apply -target="module.vpc"

# 複数指定も可能
terraform apply -target="aws_instance.web" -target="aws_security_group.app"

$ terraform plan -target="aws_instance.web"

Terraform used the selected providers to generate the following execution plan.
Resource actions are indicated with the following symbols:
  ~ update in-place

Terraform will perform the following actions:

  # aws_instance.web will be updated in-place
  ~ resource "aws_instance" "web" {
      ~ instance_type = "t3.micro" -> "t3.small"
        id            = "i-0a1b2c3d4e5f67890"
        tags          = {
            "Name" = "web-prod-01"
            "Env"  = "production"
        }
        # (28 unchanged attributes hidden)
    }

Plan: 0 to add, 1 to change, 0 to destroy.
╷
│ Warning: Resource targeting is in effect
│
│ You are creating a plan with the -target option, which means that the
│ result of this plan may not represent all of the changes required to
│ synchronize your real infrastructure with your configuration.
│
│ The -target option is not for routine use, and is provided only for
│ exceptional circumstances such as recovering from errors or mistakes.
╵

# Terraform 1.x 以降: taint は非推奨。-replace を使う
$ terraform apply -replace="aws_security_group.app" -target="aws_security_group.app"

# Terraform 0.15.x 以前の場合
$ terraform taint aws_security_group.app
$ terraform apply -target="aws_security_group.app"

# まずドリフトの内容を確認
$ terraform plan -refresh-only -target="aws_security_group.app"

# 確認後、対象リソースのみコード定義に戻す
$ terraform apply -target="aws_security_group.app"

Apply complete! Resources: 0 added, 1 changed, 0 destroyed.

# 危険なパターン: ECSタスク定義のみ適用
$ terraform apply -target="aws_ecs_task_definition.app"

# ALBのターゲットグループとの依存関係は更新されていない状態で...
# 後日、全体applyを実行すると
$ terraform apply

# → ALBの設定が予期しない内容で変更されサービス断

# NG: planは全体、applyはターゲット指定（別物になる）
$ terraform plan           # 全リソースの差分を確認してチームがレビュー承認
$ terraform apply -target="aws_instance.web"  # 一部のみ適用

# → レビューした内容と適用内容が一致しない状態になる

# modules/ を責務で分割する例
module "network" {
  source = "./modules/network"
}

module "compute" {
  source     = "./modules/compute"
  vpc_id     = module.network.vpc_id
  subnet_ids = module.network.private_subnet_ids
}

module "data" {
  source     = "./modules/data"
  subnet_ids = module.network.private_subnet_ids
}

resource "aws_security_group" "app" {
  name   = "app-sg"
  vpc_id = aws_vpc.main.id
  # ...
}

resource "aws_instance" "web" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.micro"

  # 暗黙依存では不十分な場合に明示する
  depends_on = [aws_security_group.app]
}

# ターゲット指定の前に全体の差分を保存しておく
$ terraform plan -out=full.plan
$ terraform show full.plan > full_plan_before_target.txt

# その後ターゲット指定でapply
$ terraform apply -target="aws_instance.web"

# -target apply後、必ず全体planで差分残りがないか確認
$ terraform plan

# 差分が残っている場合は速やかに全体適用する
# （放置するとステート整合性が崩れたまま時間が経過する）
$ terraform apply