TerraformのHCL組み込み関数実践ガイド｜templatefile・jsonencode・try・mergeでリソース設定を動的に組み立てる方法

resource "aws_iam_policy" "s3_read" {
  name = "s3-read-${var.environment}"

  # jsonencodeを使うとHCLの構文チェックが効く
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "s3:GetObject",
          "s3:ListBucket",
        ]
        Resource = [
          "arn:aws:s3:::${var.bucket_name}",
          "arn:aws:s3:::${var.bucket_name}/*",
        ]
      }
    ]
  })
}

TerraformのIaC設計力を体系的に身につけたい方へ

HCL関数・モジュール設計・マルチ環境運用まで、実機ハンズオンで学べる現役エンジニアによるセミナーの詳細はこちらから確認できます。

Terraform実践セミナーの詳細を見る ＞＞

locals {
  # vpc_configが設定されている場合はそのCIDR、なければデフォルト値
  vpc_cidr = try(var.vpc_config.cidr, "10.0.0.0/16")

  # monitoring設定が省略されたモジュール呼び出しでもエラーにしない
  monitoring_enabled = try(var.monitoring.enabled, false)
}

locals {
  # monitoring設定が提供されているかを bool で取得
  has_monitoring_config = can(var.monitoring.enabled)

  # URLがhttps://で始まるかを検証
  is_https = can(regex("^https://", var.endpoint_url))
}

# has_monitoring_configがfalseなら count=0でリソースを作らない
resource "aws_cloudwatch_metric_alarm" "cpu_high" {
  count = local.has_monitoring_config ? 1 : 0

  alarm_name          = "${var.project}-cpu-high-${var.environment}"
  comparison_operator = "GreaterThanThreshold"
  threshold           = try(var.monitoring.cpu_threshold, 80)
  # ...
}

locals {
  # instance_nameが指定されていれば使い、空ならproject_nameを使う
  final_name = coalesce(var.instance_name, var.project_name, "default-server")
}

locals {
  subnet_config = {
    "public-1a"  = { cidr = "10.0.1.0/24", az = "ap-northeast-1a" }
    "public-1c"  = { cidr = "10.0.2.0/24", az = "ap-northeast-1c" }
    "private-1a" = { cidr = "10.0.11.0/24", az = "ap-northeast-1a" }
    "private-1c" = { cidr = "10.0.12.0/24", az = "ap-northeast-1c" }
  }
}

resource "aws_subnet" "main" {
  for_each = local.subnet_config

  vpc_id            = aws_vpc.main.id
  cidr_block        = each.value.cidr
  availability_zone = each.value.az

  tags = merge(local.common_tags, {
    Name = "${var.project}-${var.environment}-${each.key}"
    Tier = startswith(each.key, "public") ? "public" : "private"
  })
}

# config/allowed_ips.json
# {
#   "office": ["203.0.113.0/24"],
#   "vpn":    ["198.51.100.0/24"]
# }

locals {
  ip_config   = jsondecode(file("${path.module}/config/allowed_ips.json"))
  # flatten でネストを解消して1次元リストに
  allowed_ips = flatten(values(local.ip_config))
  # → ["203.0.113.0/24", "198.51.100.0/24"]
}

resource "aws_security_group_rule" "allow_office" {
  type        = "ingress"
  from_port   = 443
  to_port     = 443
  protocol    = "tcp"
  cidr_blocks = local.allowed_ips

  security_group_id = aws_security_group.web.id
}

# NG: joinにstringを渡している（リストが必要）
join(", ", var.single_string)

# Error: Invalid function argument
# Call to function "join" failed:
# argument must be a list or set.

# NG: var.non_existent_variable自体が未定義 → tryで包んでも解消されない
value = try(var.non_existent_variable, "default")

# OK: 変数は存在するが、その中のフィールドが省略可能な場合はtryで解消できる
value = try(var.config.optional_field, "default")

# NG: テンプレートファイル内でjsonencodeを呼ぼうとするとエラーになるケース
# templates/config.tftpl
config = ${ jsonencode(settings) }    # エラーが出るケースあり

# OK: main.tfでjsonencodeを先に実行し、文字列として渡す
user_data = templatefile("templates/config.tftpl", {
  settings_json = jsonencode(local.settings)   # 文字列として渡す
})

# templates/config.tftpl
config = ${settings_json}