Módulos y proveedores, lo que importas también se despliega

Un módulo de un registro se fija con el argumento version, que acepta una versión exacta o un rango. Ese argumento solo existe para módulos de registro: en un módulo que viene de un repositorio de git, la versión se fija en la propia dirección con ref, que admite una rama, una etiqueta o un commit. Una rama se mueve cada vez que alguien publica en ella; una etiqueta o un commit, no. Apuntar a una rama es decir «dame lo último que haya», y lo último lo decide quien tenga permiso de publicar en el repositorio del módulo.

Un módulo sin versión fija convierte a todo el que pueda publicar en él en alguien que puede cambiar tu infraestructura.

Revisa cómo llama main.tf a cada módulo y distingue los que están fijados de los que no. El patrón es doble: la dirección de git con una rama, y el módulo de registro con un rango abierto. Aquí interesa el que no tiene una versión fija en su origen.

El archivo de bloqueo de proveedores se versiona en el repositorio y registra con qué versión exacta, y con qué sumas de verificación, se probó el código. Al inicializar, Terraform respeta ese archivo y reproduce lo probado. Una opción del comando de inicialización le dice lo contrario: busca la versión más nueva que admita la restricción y actualiza el bloqueo. Hecho en la canalización, cada ejecución puede usar un proveedor distinto del que se revisó, sin que ningún cambio del repositorio lo explique.

Un módulo tiene variables, y cada variable puede traer un valor por defecto. Si quien llama al módulo no la escribe, rige el valor por defecto, que puede ser inseguro. Revisar la llamada no basta: hay que leer lo que el módulo hace cuando no se le dice nada. El módulo de bodega se llama en main.tf solo con el nombre.

La propuesta PR-96 sube la versión del módulo de red y su descripción dice que no hay más cambios. Una versión nueva de un módulo es código nuevo que se despliega: el cambio de comportamiento de una versión se lee en su registro de cambios, no en la descripción del autor. Lee el diff y lee el registro de cambios del módulo de red.