Terraformのstate操作コマンド実践ガイド｜state list・state mv・state rmで既存インフラを安全に管理する方法

この記事のポイント

・terraform state listで管理中リソースのアドレス一覧を確認できる
・terraform state mvはdestroyなしでリソースを移動・リネームできる
・terraform state rmは実インフラを削除せず管理対象から外すだけ
・操作前のterraform state pullによるバックアップが安全運用の絶対条件

# 基本的な実行（カレントディレクトリのtfstateが対象）
$ terraform state list

# 実行例出力
aws_instance.web
aws_security_group.web_sg
aws_vpc.main
aws_subnet.public_a
aws_subnet.public_b
module.rds.aws_db_instance.main
module.rds.aws_db_subnet_group.main
module.alb.aws_lb.main
module.alb.aws_lb_listener.http
module.alb.aws_lb_target_group.web

# モジュール名で絞り込む（grepを使う）
$ terraform state list | grep module.rds

module.rds.aws_db_instance.main
module.rds.aws_db_subnet_group.main
module.rds.aws_db_parameter_group.mysql8

# リソースIDで逆引き（特定のEC2 IDがどのアドレスか調べる）
$ terraform state list -id=i-0a1b2c3d4e5f67890

aws_instance.web

# リソースアドレスを指定して詳細表示
$ terraform state show aws_instance.web

# resource "aws_instance" "web" {
#   ami                          = "ami-0c02fb55956c7d316"
#   arn                          = "arn:aws:ec2:ap-northeast-1:123456789012:instance/i-0a1b2c3d4e5f67890"
#   associate_public_ip_address  = true
#   availability_zone            = "ap-northeast-1a"
#   id                           = "i-0a1b2c3d4e5f67890"
#   instance_state               = "running"
#   instance_type                = "t3.micro"
#   private_ip                   = "10.0.1.45"
#   public_ip                    = "13.xx.xx.xx"
#   tags                         = {
#     "Env"  = "production"
#     "Name" = "web-server"
#   }
#   vpc_security_group_ids       = [
#     "sg-0abcdef1234567890",
#   ]
# }

# Before（モジュール化前のアドレス）
# resource "aws_instance" "web" { ... }

# After（モジュール化後のアドレス）
# module "web" {
#   source = "./modules/web"
# }
# modules/web/main.tf:
# resource "aws_instance" "web" { ... }

# state mvで旧アドレス → 新アドレスに移動
$ terraform state mv aws_instance.web module.web.aws_instance.web

Move "aws_instance.web" to "module.web.aws_instance.web"
Successfully moved 1 object(s).

# 移動後にplanを実行して差分がないことを確認
$ terraform plan

No changes. Your infrastructure matches the configuration.

# リソース名を "app" から "web" に変更する例
$ terraform state mv aws_instance.app aws_instance.web

Move "aws_instance.app" to "aws_instance.web"
Successfully moved 1 object(s).

# ステップ1: tfstateのバックアップをとる
$ terraform state pull > terraform.tfstate.backup.20260707_100550

# ステップ2: 移動元アドレスを正確に確認
$ terraform state list | grep 移動したいリソース名

# ステップ3: state mvを実行（アドレスは厳密に一致させること）
$ terraform state mv "aws_instance.app" "aws_instance.web"

# ステップ4: planで差分ゼロを確認
$ terraform plan

# 単一リソースを管理から除外
$ terraform state rm aws_instance.legacy_server

Removed aws_instance.legacy_server
Successfully removed 1 resource instance(s).

# モジュール内の全リソースをまとめて除外
$ terraform state rm module.deprecated_module

Removed module.deprecated_module.aws_instance.main
Removed module.deprecated_module.aws_security_group.main
Removed module.deprecated_module.aws_eip.main
Successfully removed 3 resource instance(s).

# ステップ1: バックアップ
$ terraform state pull > terraform.tfstate.backup.20260707_100550

# ステップ2: 対象アドレスの確認（除外したいリソースのアドレスを特定）
$ terraform state list | grep legacy

aws_instance.legacy_server
aws_security_group.legacy_sg

# ステップ3: state rmを実行
$ terraform state rm aws_instance.legacy_server

# ステップ4: 残りのstateを確認
$ terraform state list | grep legacy

aws_security_group.legacy_sg

# バックアップを作成（操作前に必ず実行）
$ terraform state pull > terraform.tfstate.backup.20260707_100000

# バックアップからロールバック（pushで元のstateを戻す）
$ terraform state push terraform.tfstate.backup.20260707_100000

# ロールバック後にplanで確認
$ terraform plan

# moved ブロックの書き方（HCLファイルに追記）
moved {
  from = aws_instance.app
  to   = aws_instance.web
}

# または、モジュール化に伴う移動
moved {
  from = aws_instance.web
  to   = module.web.aws_instance.web
}

# terraform planで移動が確認できる
$ terraform plan

# Terraform will perform the following actions:

#   # aws_instance.app has moved to aws_instance.web
#     resource "aws_instance" "web" {
#         id = "i-0a1b2c3d4e5f67890"
#         # (no changes)
#     }

# Plan: 0 to add, 0 to change, 0 to destroy.

# for_eachのリソースはキーを含めて指定する（引用符が必要）
$ terraform state rm 'aws_subnet.public["ap-northeast-1a"]'

# state rmしたリソースのHCL定義を残すとplanでcreateと判定される
# → HCL定義も削除するか、lifecycle { ignore_changes = all } で抑制する

resource "aws_instance" "legacy" {
  # ...
  lifecycle {
    ignore_changes = all
  }
}

# エラー例
Error: State serial 5 does not match current 8

# バックアップのJSONを開き、"serial" の値を現在より大きい値に変更してから再push
# （例："serial": 9 に変更）
$ terraform state push terraform.tfstate.backup.20260707_100000