Terraform State Locking: ليه مهندسَين بيشتغلوا سوا ممكن يدمّروا بنيتك التحتية

terraform {
  backend "s3" {
    bucket       = "mycompany-tfstate"
    key          = "prod/network/terraform.tfstate"
    region       = "eu-central-1"
    encrypt      = true
    use_lockfile = true   # قفل S3 الأصلي — Terraform 1.10 وأحدث
  }
}

بعد ما تضيف السطر، فعّل الإعداد الجديد:

لو لسه على إصدار أقدم من 1.10، الطريقة القديمة بـ DynamoDB لسه شغّالة: تضيف dynamodb_table = "tf-locks" بدل use_lockfile. لكن من 1.11 الحقل ده اتعمله deprecated ولصالح القفل الأصلي.

لما القفل يشتغل فعلًا: ده اللي هتشوفه

شغّل apply من تيرمينالين مع بعض. الأول بيمسك القفل ويكمّل. التاني بيلاقي إن ملف .tflock موجود، فالـ conditional write بيرجّع 412 PreconditionFailed، وTerraform بيوقفك برسالة واضحة:

ده سلوك صح مش خطأ: Terraform حماك من الكتابة المتوازية. تستنّى الأول يخلّص وتعيد المحاولة. أما لو عملية اتقتلت في النص (الـ CI اتقفل مثلًا) وسابت قفل معلّق، بتفكّه يدويًا بالـ ID الظاهر فوق:

خُد بالك: force-unlock سلاح خطير. استخدمه بس لما تكون متأكد 100% إن مفيش عملية شغّالة فعلًا، وإلا هترجع لنفس مشكلة الكتابة المتوازية.

الأرقام والـ trade-offs

التكلفة الحقيقية للقفل صغيرة: عملية PutObject واحدة زيادة لملف JSON حجمه بضع مئات من البايتات، بتضيف زمنًا في حدود عشرات المللي ثانية على كل apply (زمن طلب S3 نموذجي). ده رقم مايتحسّش جنب أي apply حقيقي بياخد ثوانٍ أو دقايق.

• بتكسب: استحالة عمليًا إن اتنين يكتبوا الحالة في نفس اللحظة، يعني صفر حالة متكسّرة بسبب التوازي.
• بتخسر: عمليات الكتابة على نفس الحالة بقت متسلسلة. لو عندك pipeline بيـ apply كتير على نفس الـ state، هيقفوا في طابور. الحل إنك تقسّم الحالة (state لكل مكوّن: شبكة، قاعدة بيانات، تطبيق) فالتزاحم يقل.
• الافتراض: S3 دلوقتي بتدعم الـ conditional writes في كل الأقاليم، فالقفل الأصلي شغّال من غير إعداد إضافي. لكنه يتطلب Terraform 1.10 على الأقل عند كل عضو في الفريق وفي الـ CI.

متى لا تحتاج كل ده

مش كل حالة محتاجة قفل remote:

• لو انت لوحدك وبتشتغل بحالة محلية فقط، Terraform بيقفل محليًا على أي حال، والقفل الموزّع زيادة مالهاش لزمة.
• لو كل مهندس/مكوّن عنده حالة منفصلة تمامًا، التزاحم نادر أصلًا.
• عمليات القراءة البحتة زي terraform output أو show مش بتكتب، فمش محتاجة قفل. تجنّب استخدام -lock=false إلا في قراءة مؤكدة، وممنوع نهائيًا مع apply.

الخطوة التالية

افتح ملف الـ backend بتاعك دلوقتي، أضف use_lockfile = true، وشغّل terraform init -reconfigure. بعدين افتح تيرمينالين وشغّل terraform apply في الاتنين في نفس الوقت على بيئة تجريبية. لو التاني وقف برسالة "Error acquiring the state lock"، يبقى القفل شغّال صح. لو الاتنين كمّلوا، يبقى الإعداد لسه مش متفعّل — راجع إصدار Terraform والـ init.

مصادر

• HashiCorp — S3 Backend (use_lockfile وإعداد القفل)
• HashiCorp — State Locking
• Terraform 1.10.0 Release Notes — إدخال القفل الأصلي على S3
• HashiCorp — Terraform State (ما هو ملف الحالة)