Plan-Artefakt, Approval
Build-Job: plan -out=tfplan, Plan-Artefakt +
lesbaren show-Output an den Review hängen.
Nach Approval wendet der Apply-Job dasselbe
Artefakt an, kein zweiter Plan zwischen Review
und Apply, keine unbemerkte Differenz.
tfplan enthält sensitive Werte im Klartext;
das Artefakt wie den State schützen.
Pipeline-Hygiene
init -input=false (keine interaktiven Prompts),
fmt -check + validate als frühes
Gate, Lock-Datei committed; init -lockfile=readonly
schreibt sie nie um, neue oder entfernte Provider brechen ab.
State-Zugriff nur für die Pipeline-Identität; kurzlebige Cloud-Credentials statt statischer Keys.
terraform init -input=false -lockfile=readonly terraform plan -input=false -out=tfplan terraform show -no-color tfplan > plan.txt # Review # nach Approval: terraform apply -input=false tfplan