HCL, variables, locales y expresiones

Una variable de entrada (variable) es un parámetro del módulo: su valor llega desde fuera, y si no llega se usa su default. Un valor local (locals) es un nombre para una expresión calculada dentro del módulo, a partir de variables y de otros valores; no se asigna desde fuera. Una salida (output) expone un valor hacia quien llama al módulo.

Esa diferencia dice dónde mirar. Para saber por qué un recurso tiene cierto valor se sigue el hilo hacia atrás: el atributo del recurso, el local que lo calcula, la variable que alimenta el local y la fuente que dio valor a esa variable.

Una misma variable puede recibir valor de varias fuentes a la vez. La documentación de Terraform fija el orden, de menor a mayor precedencia: el default del bloque de la variable, las variables de entorno TF_VAR_nombre, el archivo terraform.tfvars, el archivo terraform.tfvars.json, los archivos *.auto.tfvars en orden léxico y, por último, las opciones -var y -var-file de la línea de comandos.

Es decir, el valor que se lee en variables.tf casi nunca es el definitivo. Reúne los valores de replicas que hay en la carpeta y en el entorno del trabajo de CI, y aplica el orden.

Para saber quién puede llegar a un servicio no basta con leer el recurso: su atributo apunta a un local, y el local a una variable. Leer en ese orden es lo que un auditor hace para responder a «¿de dónde sale esto?».

Abre main.tf y mira de dónde sale el atributo entrada_desde.

Una variable de tipo texto acepta cualquier texto, incluido uno con una errata. Si una expresión compara con un valor exacto, un valor mal escrito simplemente cae en la rama contraria y nada falla. La defensa es validar la entrada: un bloque validation dentro de la variable, con una condición y un mensaje, hace que el plan se detenga si el valor no está entre los permitidos.

Es el equivalente en HCL de lo que el esquema hace en JSON: poner por escrito qué valores son legítimos.

La expresión condicional condición ? valor_si : valor_no se evalúa con los valores efectivos, no con los que uno supone. Si la condición compara con un literal y el valor efectivo tiene otra forma, el resultado cae en la rama de «no» aunque el nombre del archivo, o la intención, sugiera lo contrario.

Calcula el valor efectivo de entorno, aplica la condición de locales.tf y escribe el resultado.