TerraformのインフラドリフトをPlan -refresh-onlyで検出する方法｜手動変更との整合性設計と修正戦略

この記事のポイント

・terraform plan -refresh-onlyはstateと実インフラの乖離（ドリフト）だけを表示するサブモード
・ドリフト修正には「コードで上書き・stateを現実に合わせる・ignore_changesで許容」の3戦略がある
・CI/CDに週次のrefresh-onlyジョブを組み込むことで早期発見できる設計を紹介
・lifecycle ignore_changesは「意図的に許容するドリフト」を宣言する正しい設計手段

# ドリフト検出（読み取りのみ・stateは変更しない）
terraform plan -refresh-only

# 出力をファイルに保存して後でレビューする場合
terraform plan -refresh-only -out=drift-$(date +%Y%m%d).tfplan

$ terraform plan -refresh-only

aws_security_group.web: Refreshing state... [id=sg-0abc12345def67890]
aws_instance.web: Refreshing state... [id=i-0fedcba9876543210]

Note: Objects have changed outside of Terraform

Terraform detected the following changes made outside of Terraform since the
last "terraform apply" which may have affected this plan:

  # aws_security_group.web has changed
  ~ resource "aws_security_group" "web" {
        id   = "sg-0abc12345def67890"
        name = "web-sg"

      + ingress {
          + cidr_blocks      = ["203.0.113.10/32"]
          + description      = "Emergency admin access"
          + from_port        = 8080
          + protocol         = "tcp"
          + to_port          = 8080
        }
    }

This is a refresh-only plan, so Terraform will not take any actions to undo these.
If you were expecting these changes then you can apply this plan to record the
updated values in the Terraform state without changing any remote objects.

Plan: 0 to add, 0 to change, 0 to destroy.

# ECSタスク定義のリビジョン番号が自動インクリメントされドリフトが発生する例
  ~ resource "aws_ecs_task_definition" "app" {
      ~ revision = 15 -> 16
    }

# 通常のplanでドリフトが差分として表示されることを確認
terraform plan

# コードの状態に戻す（手動変更を上書き）
terraform apply

# ステップ1: ドリフトを確認
terraform plan -refresh-only

# ステップ2: stateを実インフラに合わせて更新（実インフラは変更しない）
terraform apply -refresh-only

# ステップ3: コードにも手動変更を反映してコミット
# main.tfなどにリソース設定を追記し、差分がゼロになることを確認
terraform plan

# Terraform 1.5以降: importブロックによる宣言型import
import {
  to = aws_security_group.admin_access
  id = "sg-0abc12345def67890"
}

# importブロック定義後にplanで取り込み内容を確認
terraform plan

# applyで正式にIaC管理下へ
terraform apply

# .github/workflows/drift-detection.yml
name: Terraform Drift Detection

on:
  schedule:
    - cron: '0 0 * * 1'  # 毎週月曜 09:00 JST（UTC 00:00）
  workflow_dispatch:       # 手動実行も可能

jobs:
  detect-drift:
    runs-on: ubuntu-latest
    permissions:
      id-token: write   # OIDC認証でAWS IAMロールを引き受ける
      contents: read

    steps:
      - uses: actions/checkout@v4

      - uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: "1.9.0"

      - name: Configure AWS credentials (OIDC)
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/github-actions-readonly
          aws-region: ap-northeast-1

      - name: Terraform Init
        run: terraform init -input=false

      - name: Terraform Plan -refresh-only
        id: drift_check
        run: |
          terraform plan -refresh-only -detailed-exitcode -no-color 2>&1 | tee plan-output.txt
          echo "exitcode=${?}" >> $GITHUB_OUTPUT
        continue-on-error: true

      - name: Notify drift detected
        if: steps.drift_check.outputs.exitcode == '2'
        uses: slackapi/slack-github-action@v1
        with:
          payload: |
            {
              "text": ":rotating_light: インフラドリフトを検出しました。
ワークフロー確認: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}"
            }
        env:
          SLACK_WEBHOOK_URL: ${{ secrets.SLACK_WEBHOOK_URL }}

# ECSサービス: Auto Scalingが管理するdesired_countを除外
resource "aws_ecs_service" "app" {
  name            = "app-service"
  cluster         = aws_ecs_cluster.main.id
  task_definition = aws_ecs_task_definition.app.arn
  desired_count   = 2  # 初期値のみTerraformで設定

  lifecycle {
    ignore_changes = [desired_count]
  }
}

# EC2 Launch Template: PakerによるAMIローリングアップデートを許容
resource "aws_launch_template" "app" {
  name_prefix   = "app-lt-"
  image_id      = data.aws_ami.amazon_linux.id

  lifecycle {
    # Packerで最新AMIに更新する運用のため、image_idのドリフトを許容
    ignore_changes = [image_id]
  }
}

Error: Error acquiring the state lock

Lock Info:
  ID:        c1234567-abcd-1234-efgh-1234567890ab
  Path:      s3://my-tfstate/terraform.tfstate
  Operation: OperationTypePlan

# ロックを保持しているジョブを特定してからforce-unlock
terraform force-unlock c1234567-abcd-1234-efgh-1234567890ab