Terraformのmoved・removedブロックで安全にリファクタリングする方法｜state mvに頼らない宣言型の構成変更

この記事のポイント

・moved ブロックは state mv の宣言型代替で VCS 管理・PR レビューが可能
・removed ブロックの destroy=false でインフラを残したまま state 除外できる
・plan 実行時に「Moved」表示で事前確認できるため誤操作リスクがほぼゼロ
・Terraform 1.1 以降で moved、1.7 以降で removed が利用可能

# aws_instance.server を aws_instance.web_server に名前変更する
moved {
  from = aws_instance.server
  to   = aws_instance.web_server
}

# 変更後のリソース定義（新名称）
resource "aws_instance" "web_server" {
  ami           = "ami-0abcdef1234567890"
  instance_type = "t3.micro"
}

$ terraform plan

Terraform will perform the following actions:

  # aws_instance.server has moved to aws_instance.web_server
    resource "aws_instance" "web_server" {
        id                   = "i-0a1b2c3d4e5f67890"
        ami                  = "ami-0abcdef1234567890"
        instance_type        = "t3.micro"
        tags = {
            "Name" = "web-server-prod"
        }
        # (12 unchanged attributes hidden)
    }

Plan: 0 to add, 0 to change, 0 to destroy.

# ルートモジュールにあった aws_s3_bucket.logs を
# module.logging 内の aws_s3_bucket.main に移動する

moved {
  from = aws_s3_bucket.logs
  to   = module.logging.aws_s3_bucket.main
}

# modules/logging/main.tf に移動後のリソース定義を記述
# module "logging" の呼び出しをルートモジュールに追加

# module.old_network から module.vpc への移動例
moved {
  from = module.old_network.aws_vpc.main
  to   = module.vpc.aws_vpc.main
}

# count から for_each へ変換する際の moved ブロック例
moved {
  from = aws_security_group.allow_http[0]
  to   = aws_security_group.allow_http["web"]
}

# aws_instance.legacy を state から除外するが、EC2 インスタンスは残す
removed {
  from = aws_instance.legacy

  lifecycle {
    destroy = false
  }
}

$ terraform plan

Terraform will perform the following actions:

  # aws_instance.legacy will no longer be managed by Terraform after apply
  # (your real infrastructure will be left intact)
    resource "aws_instance" "legacy" {
        id            = "i-0b2c3d4e5f6a7b8c9"
        instance_type = "t3.small"
        # ...
    }

Plan: 0 to add, 0 to change, 0 to destroy.

# aws_instance.old を state 除外と同時に実インフラも削除する
removed {
  from = aws_instance.old

  lifecycle {
    destroy = true  # デフォルト値。省略可
  }
}

# main.tf（リファクタリング前）
resource "aws_s3_bucket" "app_data" {
  bucket = "my-app-data-prod"
}

resource "aws_s3_bucket" "logs_old" {
  bucket = "my-logs-legacy-prod"
  # このバケットは別チームに移管済みで Terraform 管理不要
}

# main.tf（リファクタリング後）

# 既存リソースをモジュールへ移動
module "storage" {
  source = "./modules/storage"
}

# aws_s3_bucket.app_data を module.storage.aws_s3_bucket.main へ移動
moved {
  from = aws_s3_bucket.app_data
  to   = module.storage.aws_s3_bucket.main
}

# logs_old は別チーム管理になったため state から除外（バケット自体は残す）
removed {
  from = aws_s3_bucket.logs_old

  lifecycle {
    destroy = false
  }
}

# modules/storage/main.tf
resource "aws_s3_bucket" "main" {
  bucket = "my-app-data-prod"
}

Error: Unsupported block type

  on main.tf line 1:
   1: moved {

Blocks of type "moved" are not expected here.

Error: Invalid "moved" block target address

  from address "aws_instance.old_server" doesn't refer to an existing resource
  in the state.

Error: Cycle in moved block references

Terraform detected a cycle in the moved block references:
  aws_instance.a -> aws_instance.b -> aws_instance.a