Einführung in OpenTofu

Warum klickt man Infrastruktur nicht einfach zusammen? Dieses Modul zeigt den Unterschied zwischen manueller Konfiguration und deklarativem Infrastruktur-Code: reproduzierbar, versionierbar, reviewbar. Sie vergleichen OpenTofu mit Terraform, Ansible, CloudFormation und Pulumi und verstehen, wann welches Tool das richtige ist. Dazu ordnen wir die Entstehung von OpenTofu ein: den Fork von Terraform, die MPL-2.0-Lizenz, die Governance durch die Linux Foundation und den CNCF-Sandbox-Status seit April 2025.

Statt langer Theorie schreiben Sie direkt Ihre erste HCL-Datei. Sie lernen die Bausteine der Konfigurationssprache kennen: resource Blocks, data Blocks, Attribute und Referenzen. Mit dem Local Provider erstellen Sie Dateien auf Ihrem System und durchlaufen den kompletten Zyklus von tofu init bis tofu apply. Am Ende dieses Blocks lesen Sie HCL wie eine vertraute Sprache.

Provider verbinden OpenTofu mit der Außenwelt: AWS, Azure, GCP oder Hunderte weitere APIs. Sie konfigurieren Ihren ersten Cloud-Provider, pinnen Versionen im required_providers-Block und verstehen den Lebenszyklus eines tofu plan und tofu apply. Dabei arbeiten Sie mit der OpenTofu Registry (registry.opentofu.org) und sehen, wo sich diese von der Terraform Registry unterscheidet: eigenes Signing, eigene Verifikation, vollständig Open Source.

Hardcoded-Werte machen Konfigurationen unflexibel. Sie arbeiten mit Input Variables, definieren Typen (string, number, list, map, object) und setzen Defaults und Validierungsregeln. Mit Outputs machen Sie Ergebnisse für andere Module und die Kommandozeile sichtbar, und mit Locals vermeiden Sie Wiederholungen. Am Ende refactoren Sie Ihre erste Konfiguration zu einer sauber parametrierten Version.

Alles Gelernte kommt zusammen: Sie provisionieren eine eigene VM mit Security Group und Elastic IP in der Cloud. Dabei nutzen Sie Variablen für Region und Instanztyp, Outputs für die öffentliche IP und die OpenTofu-Dokumentation als Nachschlagewerk. Am Ende des Tages läuft Ihre erste per Code definierte Infrastruktur.

Der State ist das Gedächtnis von OpenTofu: ohne ihn weiß das Tool nicht, was in der Cloud existiert. Sie verstehen, warum State-Dateien nie in Git gehören, und konfigurieren Remote Backends mit Locking. Dabei vergleichen Sie drei Varianten: S3-kompatibel mit Garage oder Ceph RADOS Gateway für On-Premise-Setups, PostgreSQL mit Advisory Locks als leichtgewichtige Alternative und S3 + DynamoDB für AWS-Umgebungen. Sie aktivieren Versionierung für Rollbacks und isolieren State nach Umgebung und Komponente, damit ein Fehler in Staging nicht die Produktion gefährdet.

Terraform speichert Secrets im State als Klartext. OpenTofu löst dieses Problem nativ: Seit Version 1.7 verschlüsseln Sie State und Plan-Dateien client-seitig mit AES-GCM, bevor sie das Backend erreichen. Sie konfigurieren verschiedene Key Provider (PBKDF2 für den Einstieg, AWS KMS und GCP KMS für produktive Setups, OpenBao als Open-Source-Vault-Alternative) und implementieren Key Rotation. Am Ende dieses Blocks ist Ihr State verschlüsselt, egal welches Backend Sie nutzen.

Module sind der Schlüssel zu wartbarem Infrastruktur-Code. Sie bauen ein eigenes Modul mit Input-Variablen, Outputs und interner Logik. Dann nutzen Sie Module aus der OpenTofu Registry, pinnen Versionen mit semantischer Versionierung (~> 1.2.0) und generieren mit terraform-docs automatisch Dokumentation. Hier kommt Early Variable Evaluation ins Spiel: Sie referenzieren Variablen direkt in source und version Ihrer Module, was mit Terraform nicht möglich ist.

Bestehende Infrastruktur übernehmen, Ressourcen umbenennen oder aus dem State entfernen: Sie arbeiten mit dem import Block, dem moved Block und dem removed Block. Diese deklarativen Operationen sind reviewbar in Pull Requests und selbstdokumentierend. Dazu lernen Sie zwei OpenTofu-Exklusivfeatures: das enabled Meta-Argument (v1.11) für bedingte Ressourcen-Bereitstellung und die .tofu-Dateiendung für Konfigurationen, die nur OpenTofu versteht.

Sie bauen eine vollständige Multi-Tier-Infrastruktur aus wiederverwendbaren Modulen: VPC mit öffentlichen und privaten Subnets, Security Groups und eine VM im privaten Netz. Der State liegt remote und ist mit AWS KMS verschlüsselt, die Module sind versioniert, und die Struktur folgt den Konventionen aus dem vorherigen Block. Am Ende haben Sie eine Referenzarchitektur mit State Encryption, die Sie in eigene Projekte übernehmen können.

HCL kann mehr als einfache Zuweisungen. Sie arbeiten mit for_each und count für dynamische Ressourcen-Erzeugung, schreiben Dynamic Blocks für wiederholte Nested-Strukturen und nutzen Conditionals für umgebungsabhängige Konfiguration. Dazu kommen Built-in-Funktionen wie lookup, merge, flatten und templatefile. Hier vertiefen Sie auch die Early Variable Evaluation: Variablen und Locals im terraform-Block, in Backend-Konfigurationen und Provider-Versionen.

Code ohne Tests ist ein Versprechen ohne Beweis. Sie schreiben Ihre ersten .tftest.hcl-Dateien mit command = plan für Unit-Tests und command = apply für Integrationstests. Mit Provider Mocking testen Sie Module ohne Cloud-Credentials. Ergänzend setzen Sie TFLint für statische Analyse und tofu validate als Baseline-Check ein. Am Ende läuft eine Test-Suite, die Fehler findet, bevor sie in der Cloud kosten.

sensitive = true markiert Werte in der Konsolenausgabe, schützt sie aber nicht im State. Seit OpenTofu v1.11 gibt es Ephemeral Resources: temporäre Credentials und Tokens, die den State nie berühren und nur während einer Phase existieren. Sie konfigurieren Ephemeral Resources für Cloud-Credentials und ergänzen sie durch automatisiertes Security-Scanning mit Checkov und Trivy, die Ihre OpenTofu-Dateien auf Fehlkonfigurationen und Compliance-Verstöße prüfen.

In produktiven Teams läuft tofu apply nicht vom Laptop. Sie integrieren OpenTofu in eine CI/CD-Pipeline mit GitHub Actions oder GitLab CI: Plan als PR-Kommentar, Apply nach Approval. Da HCP Terraform nur mit Terraform funktioniert, lernen Sie Alternativen: Atlantis (selbstgehostet), Scalr und env0. Im zweiten Teil migrieren Sie ein bestehendes Terraform-Projekt zu OpenTofu: Binary-Tausch, State-Kompatibilität prüfen, Registry-Referenzen anpassen und .terraform.lock.hcl aktualisieren.

Alles zusammen: Sie bauen eine produktionsnahe Infrastruktur mit eigenen Modulen, verschlüsseltem Remote State, Variablen für Umgebungstrennung und einer Test-Suite. Dazu schreiben Sie ein CI-Pipeline-Skeleton, das tofu plan automatisch ausführt. Das Ergebnis ist ein OpenTofu-Projekt, das Sie als Vorlage für Ihre eigene Arbeit mitnehmen.