Terraformのprecondition・postcondition・checkでリソース設定を自動検証する方法｜Terraform 1.5以降のバリデーション機能と実践設計

この記事のポイント

・preconditionはapply前に入力値を検証し、失敗するとapplyをブロックできる
・postconditionはリソース作成後の状態をselfで参照して確認できる
・checkブロックは非ブロッキングで継続的なインフラ整合性チェックができる
・3機能を組み合わせると入力→作成→状態の3段階バリデーションが実現できる

# インスタンスタイプを許可リストで制限するpreconditionの例
variable "instance_type" {
  type = string
}

resource "aws_instance" "web" {
  ami           = "ami-0abcdef1234567890"
  instance_type = var.instance_type

  lifecycle {
    precondition {
      condition     = contains(["t3.medium", "t3.large", "m5.large"], var.instance_type)
      error_message = "instance_typeはt3.medium・t3.large・m5.largeのいずれかを指定してください。"
    }
  }
}

# 条件不一致時のエラー出力例（RHEL 9.4 / Terraform 1.9.2）
$ terraform apply -var="instance_type=t2.micro"

╷
│ Error: Resource precondition failed
│
│   on main.tf line 10, in resource "aws_instance" "web":
│   10:     precondition {
│
│ instance_typeはt3.medium・t3.large・m5.largeのいずれかを指定してください。
╵

# 本番環境ではMulti-AZを必須にする複合precondition
resource "aws_db_instance" "main" {
  identifier     = var.db_identifier
  engine         = "mysql"
  engine_version = "8.0"
  instance_class = var.db_instance_class
  multi_az       = var.multi_az
  username       = var.db_username
  password       = var.db_password

  lifecycle {
    # 本番環境ではMulti-AZを必須にする
    precondition {
      condition     = var.environment != "prod" || var.multi_az == true
      error_message = "本番環境（environment=prod）ではmulti_azをtrueに設定してください。"
    }
    # DBインスタンスクラスを許可リストで制限する
    precondition {
      condition     = contains(["db.t3.medium", "db.r6g.large", "db.r6g.xlarge"], var.db_instance_class)
      error_message = "db_instance_classの値が許可リストに含まれていません。"
    }
  }
}

# 作成後のEC2にパブリックIPが割り当てられているか確認する
resource "aws_instance" "app" {
  ami                         = var.ami_id
  instance_type               = "t3.medium"
  subnet_id                   = var.public_subnet_id
  associate_public_ip_address = true

  lifecycle {
    postcondition {
      condition     = self.public_ip != ""
      error_message = "EC2にパブリックIPが割り当てられていません。サブネットのauto-assign public IP設定を確認してください。"
    }
  }
}

# 取得したAMIのアーキテクチャを確認する（RHEL 9.4 / us-east-1 で動作確認済み）
data "aws_ami" "rhel9" {
  most_recent = true
  owners      = ["309956199498"]  # Red Hat

  filter {
    name   = "name"
    values = ["RHEL-9.*x86_64*"]
  }

  lifecycle {
    postcondition {
      condition     = self.architecture == "x86_64"
      error_message = "取得したAMIがx86_64アーキテクチャではありません。フィルター条件を確認してください。"
    }
  }
}

# ALBのヘルスチェックエンドポイントを監視するcheckブロック
check "alb_health" {
  data "http" "health_endpoint" {
    url = "https://${aws_lb.main.dns_name}/health"
  }

  assert {
    condition     = data.http.health_endpoint.status_code == 200
    error_message = "ALBヘルスチェックが200を返していません（ステータス: ${data.http.health_endpoint.status_code}）。ターゲットグループの状態を確認してください。"
  }
}

# checkブロック失敗時の出力例（applyは継続される）
$ terraform plan

╷
│ Warning: Check block assertion failed
│
│   on checks.tf line 5, in check "alb_health":
│    5:   assert {
│
│ ALBヘルスチェックが200を返していません（ステータス: 503）。
│ ターゲットグループの状態を確認してください。
╵

No changes. Your infrastructure matches the configuration.

# 3機能を組み合わせた本番DBモジュールの例
resource "aws_db_instance" "main" {
  identifier     = var.db_identifier
  engine         = "mysql"
  engine_version = "8.0"
  instance_class = var.instance_class
  multi_az       = var.multi_az
  username       = var.db_username
  password       = var.db_password

  lifecycle {
    # precondition: apply前にインスタンスクラスと本番要件を検証
    precondition {
      condition     = var.environment != "prod" || var.multi_az == true
      error_message = "本番環境（prod）ではmulti_azをtrueに設定してください。"
    }
    precondition {
      condition     = contains(["db.t3.medium", "db.r6g.large"], var.instance_class)
      error_message = "instance_classの値が許可リストに含まれていません。"
    }
    # postcondition: 作成後にstatusがavailableになっているか確認
    postcondition {
      condition     = self.status == "available"
      error_message = "DBのstatusがavailableになっていません。VPCセキュリティグループとサブネット設定を確認してください。"
    }
  }
}

# checkブロック: DBエンドポイントが設定されているか継続的に確認
check "db_endpoint_exists" {
  assert {
    condition     = aws_db_instance.main.endpoint != ""
    error_message = "DBエンドポイントが空になっています。インスタンスの状態を確認してください。"
  }
}

# NG: preconditionでselfを使うとエラー
lifecycle {
  precondition {
    condition     = self.instance_type == "t3.medium"  # selfは使えない
    error_message = "..."
  }
}

# OK: preconditionではvarやdataソースを参照する
lifecycle {
  precondition {
    condition     = var.instance_type == "t3.medium"
    error_message = "..."
  }
}

# NG: assertがない（planエラーになる）
check "test" {
  data "http" "health" {
    url = "https://example.com"
  }
}

# OK: assertを含める
check "test" {
  data "http" "health" {
    url = "https://example.com"
  }
  assert {
    condition     = data.http.health.status_code == 200
    error_message = "エンドポイントが応答していません。"
  }
}