PulumiとTerraformのstate競合を防ぐ｜並走期間中のリソース所有権の分け方

この記事のポイント

・PulumiとTerraformはstateストアが独立しているため「二重所有」が無音で起きる
・terraform state rmとpulumi importを使えばリソース移管は安全に行える
・prevent_destroyとignore_changesで誤操作の影響範囲を限定できる
・ディレクトリとCIゲートで所有権を可視化することが長期運用の要点

# 二重所有が起きているときのエラー例（出力例・環境により異なります）
error: Preview failed: aws:ec2/vpc:Vpc (main-vpc):
  error: VPC with CIDR 10.0.0.0/16 already exists
  Duplicate resource detected

# 手順1: Terraformのstateから対象リソースを取り除く
# （実際のリソースは削除しない・stateの記録だけを除外する）
terraform state list
# 出力例（環境により異なります）:
# aws_db_instance.main
# aws_db_subnet_group.main

terraform state rm aws_db_instance.main
terraform state rm aws_db_subnet_group.main

# 手順2: 実際のリソースIDを取得する
terraform show -json | python3 -c   "import sys,json; [print(k,v['values']['id']) for k,v in json.load(sys.stdin)['values']['root_module']['resources'] if v['address'] == 'aws_db_instance.main']" 2>/dev/null || true

# 手順3: PulumiにリソースIDを登録する（destroyせずインポート）
pulumi import aws:rds/instance:Instance main db-prod-2024
# 出力例（環境により異なります）:
#   Importing (dev):
#   + aws:rds/instance:Instance  main  imported
#   Resources: 1 imported

# Pulumi管轄リソースをTerraformが参照だけする場合の保護設定
# （tfstateに残っている間の誤削除防止）
resource "aws_security_group" "app" {
  name = "app-sg"
  # ... 設定省略

  lifecycle {
    # destroyコマンドで消えないようにロック
    prevent_destroy = true
    # Pulumi側が変更してもTerraformが差分を検出して上書きしないよう除外
    ignore_changes  = [ingress, egress, tags]
  }
}

# 推奨ディレクトリ構成（例）
infra/
  terraform/           # Terraform管轄（ネットワーク層）
    modules/
    environments/
      dev/
      prod/
    README.md          # 管轄範囲を明記する
  pulumi/              # Pulumi管轄（アプリケーション層）
    Pulumi.yaml
    Pulumi.dev.yaml
    src/
    README.md          # 管轄範囲を明記する
  docs/
    iac-ownership.md   # 境界定義ドキュメント

# .github/workflows/iac-ownership-check.yml（抜粋）
- name: Check IaC ownership boundary
  run: |
    # Terraform配下のファイル変更がPulumi配下のリソース名を参照していないか確認
    changed_tf=
    if [ -n "" ]; then
      if grep -r "pulumi"  2>/dev/null | grep -v "#"; then
        echo "ERROR: Terraform code references Pulumi-managed resources directly"
        echo "Use data sources or remote_state to cross boundaries"
        exit 1
      fi
    fi
    echo "Ownership boundary check: OK"