Der Remote-State von Terraform besteht aus einer JSON-Datei in einem S3-Bucket sowie einer Consul- oder DynamoDB-Sperre; forjar schreibt den State als BLAKE3-gehashtes YAML-Datei neben Ihrer Konfiguration und committet ihn in Git. Die praktische Konsequenz: Terraform benötigt ein Runbook zur Wiederherstellung des Zustands für den Fall, dass jemand den S3-Bucket löscht; forjars Wiederherstellung erfolgt per `git checkout`. OpenTofus `terraform plan -out=plan.tfplan` schreibt eine Binärdatei, die später von `terraform apply plan.tfplan` verarbeitet wird, und forjars BLAKE3-Sperrdatei IST der gespeicherte Plan. In diesem Modul werden Sie untersuchen, wo der Status gespeichert ist, gespeicherte Pläne in Aktion sehen und die JSON-Planausgabe lesen, um zu verstehen, welche Änderungen IAC vor der Anwendung vornehmen wird.

Terraform 1.12 bietet `lifecycle.ignore_changes` für Felder, die von der API verändert werden, `moved`-Blöcke für Refactoring ohne Löschung und `removed`-Blöcke für legitime Löschungen. Forjar implementiert dieselben drei Primitive mit einer syntaktischen Besonderheit: Es erfordert, dass Sie vor der Ausführung eines `moved`-Blocks in Ihrer Konfiguration angeben, dass die Zielressource existiert. Dadurch wird der Fehler „Verschieben zu einem umbenannten Element, das Sie vergessen haben“ bereits bei der Planung abgefangen. OpenTofu 1.8 hat die vorzeitige Auswertung von `for_each`-Schlüsseln eingeführt, sodass ein `moved`-Block auf einen dynamischen Schlüssel abzielen kann, ohne den von Terraform 1.5 ausgelösten „Partial-State“-Fehler zu verursachen. In diesem Modul lernst du, wie Lebenszyklus-Blöcke Ressourcen umbenennen, ignorieren und entfernen, ohne sie zu zerstören.

Drift ist das, was das von Ihnen gezeichnete Diagramm von Ihrem tatsächlichen Cluster unterscheidet. Dieses Modul stellt den langsamen und ressourcenintensiven „plan -refresh-only“-Befehl von Terraform – der für jede Ressource jede Cloud-API abfragt – dem lokalen BLAKE3-Hash-Vergleich von forjar gegenüber, der anhand der Sperrdatei Drift innerhalb von Millisekunden und ohne Netzwerkaufrufe erkennt. Außerdem werden Sie sehen, wie OpenTofu 1.5-Prüfblöcke nach der Anwendung Gesundheitsprüfungen hinzufügen, die warnen (aber nicht blockieren), während die C1-C10-Verträge von forjar Eigenschaftstests sind, die bei jeder Anwendung überprüft werden. Der letzte Baustein sind stapelübergreifende Importe: „terraform_remote_state“ übernimmt stillschweigend alles, was der Upstream erzeugt hat, während Forjar den importierten Hash festlegt und bei Nichtübereinstimmung die Anwendung verweigert.

Dieses Abschlussmodul verbindet Tests, Zustandsverschlüsselung und eine Live-Canary-Flotte zu einem Gesamtbild auf Produktionsniveau. Sie lernen die Test-DSL „.tftest.hcl“ von Terraform mit „run“-Blöcken und „assert“-Bedingungen für die Ausgabedaten von „plan“ und „apply“ als Unit-Test-Ebene für Infrastrukturkonfigurationen kennen und erfahren, wie der „plan-test“-Modus von forjar den DAG auflöst und den YAML-Diff ohne „apply“- und „destroy“-Vorgänge rendert. Anschließend vergleichen Sie die „state_encryption“-Funktion von OpenTofu 1.7 (AES-GCM im Ruhezustand über AWS KMS) mit dem BLAKE3-signierten Manifest von forjar, bei dem jede Änderung vom Plan zum „apply“ die Signatur ungültig macht und den Vorgang abbricht. Die abschließende Canary-Fleet-Demo bearbeitet eine verwaltete Begrüßungsnachricht, führt „apply“ aus, beobachtet, wie Forjar den Inhalt wiederherstellt, und belegt, dass alle 10 C1-C10-Ansprüche in einer Live-Flotte aus Primär- und Canary-Instanzen erfüllt sind.