Terraform oder OpenTofu: Belege die Entscheidung, statt sie zu vermuten

„Das läuft doch eh“, heißt es meist. OpenTofu will mit Terraform-Konfigurationen kompatibel bleiben, und die meisten laufen tatsächlich ohne Änderung. Nur: Seit der Abspaltung entwickeln sich beide getrennt. Stand Ende September 2026 stehen Terraform 1.16 und OpenTofu 1.13 nebeneinander, und jedes Release bringt etwas, das das andere Werkzeug nicht kennt.

Kompatibilität wird geprüft, nicht gefolgert

Vor einem Wechsel stehen konkrete Fragen statt eines Bauchgefühls:

• Liegt jeder Provider in der Registry des Zielwerkzeugs, in der nötigen Version?
• Nutzen eingebundene Module Funktionen, die nur eines der Werkzeuge kennt?
• Führt die Pipeline das Zielwerkzeug überhaupt aus?

Bei HCP Terraform und Terraform Enterprise ist die Frage schnell beantwortet: Dort läuft nur Terraform, die Plattform entscheidet.

Ein leerer Plan beweist weniger, als du denkst

Der naheliegende Test ist tofu plan ohne Änderungen. Der zeigt aber nur, dass OpenTofu den bestehenden State richtig liest. Dass es die Umgebung künftig auch verwaltet, belegt erst eine kleine, angewendete Änderung, etwa ein zusätzliches Label, gefolgt von einem zweiten Plan ohne Änderungen. Und die Lock-Datei, die dabei neue Provider-Adressen bekommt, ist kein Rauschen im Review. Sie gehört in den Commit.

Der Rückweg geht leise zu

Solange die Konfiguration nur Gemeinsames nutzt, führen terraform init und plan zurück. Jede Funktion, die nur OpenTofu kennt, macht daraus Umbauarbeit. Endgültig wird es mit verschlüsseltem State, denn den kann Terraform nicht mehr lesen. Deshalb gehört in den Decision Record, ab wann der Rückweg bewusst aufgegeben wird und wer ihn bis dahin auslösen darf.

Mehr dazu im Seminar

Wie die Migration Schritt für Schritt abläuft und in welcher Reihenfolge abhängige Konfigurationen wechseln, zeigt das Modul Terraform und OpenTofu vergleichen und migrieren, inklusive Video und Kapitelübersicht.

← Alle Beiträge