Terraformの「依存地獄」を脱却する：暗黙的依存と`depends_on`の正しい設計哲学
現場でTerraformを叩いていると、必ず一度は遭遇する「計画した通りにリソースが作られない」「不可解な循環依存エラー」という悪夢。
「とりあえず`depends_on`を貼っておけば動く」という思考停止に陥っていませんか？その場しのぎの`depends_on`は、将来的なコードの再作成（Recreate）という爆弾を埋め込む行為に等しい。
本稿では、SREの現場で生き残るための「依存関係の制御」と、生産性を極限まで高めるためのツールチェーン設定を伝授する。
—
1. 依存関係の真実：暗黙的 vs 明示的
Terraformのグラフ構築アルゴリズムは、基本的に「リソース間の属性参照」から暗黙的に依存関係を解決する。
暗黙的依存（推奨）
resource “aws_security_group” “web” {
name = “web-sg”
}
resource “aws_instance” “web” {
# 明示的に書かなくても、セキュリティグループIDを参照することで「SG作成 -> インスタンス作成」の順序が確定する
vpc_security_group_ids = [aws_security_group.web.id]
}
これが最も堅牢だ。Terraformはリソースのライフサイクルを完全に把握できる。
明示的依存 (`depends_on`)
resource “aws_iam_role_policy” “example” {
# IAMの伝播遅延などで稀に必要になるが、多用は禁忌
depends_on = [aws_iam_role.main]
}
`depends_on`は「Terraformが解決できない隠れた依存関係」を補完するための最終兵器だ。これを多用すると、グラフが複雑化し、本来並列実行できたはずのリソースが逐次実行になり、デプロイ時間が致命的に増大する。
—
2. 「再作成の罠」を回避する設計パターン
`depends_on`を不用意に使うと、親リソースの些細な変更が連鎖的に下流リソースの再作成を引き起こす。これを防ぐには「モジュール境界の明確化」が不可欠だ。
実践：循環依存を回避する「スタック分離」
リソース間で循環参照が起きるなら、それは設計の敗北だ。リソースを以下のレイヤーに分離せよ。
1. Network層: VPC, Subnet
2. IAM/Security層: Role, SG
3. Application層: Instance, DB
ベストプラクティス:
IAMロールのARNやSGのIDは、`terraform_remote_state`や`data source`経由で参照し、モジュール間の結合度（Coupling）を物理的に切り離せ。
—
3. 生産性を加速させる「神ツールチェーン」設定
プロのエンジニアは、コードを書く速度が違うのではなく、「ミスを即座に検知する環境」を持っている。
神プラグイン & 設定
- [terraform-ls](https://github.com/hashicorp/terraform-ls): VS Codeで必須。補完と型チェックの精度が段違い。
- [tflint](https://github.com/terraform-linters/tflint): クラウド固有のルールチェック（例：非推奨のインスタンスタイプ指摘）が可能。CIに組み込む前にローカルで回せ。
- [tfsec](https://aquasecurity.github.io/tfsec/): セキュリティ設定の自動スキャン。設定ミスによるS3公開などの事故を未然に防ぐ。
チーム開発の「極秘」設定 (VS Code `settings.json`)
{
“terraform.languageServer.enable”: true,
“editor.formatOnSave”: true,
“editor.codeActionsOnSave”: {
“source.fixAll.terraform”: “explicit”
},
“terraform.validation”: true
}
`terraform fmt`を保存時に走らせる設定は基本中の基本だ。フォーマットで議論する時間は、コード品質向上に充てろ。
—
4. プロのための構成例：`terragrunt.hcl` を活用せよ
`depends_on`をコードで書くのが辛いなら、Terragruntを導入すべきだ。コードのDRYを保ちつつ、依存関係をディレクトリ構造で強制できる。
terragrunt.hcl の例
dependency “vpc” {
config_path = “../vpc”
}
inputs = {
vpc_id = dependency.vpc.outputs.vpc_id
}
これを使えば、`terraform init`時の依存関係解決に悩むことはなくなる。
—
最後に：伝説のエンジニアからの提言
Terraformのコードは、単なる設定ファイルではない。それは「インフラのあるべき姿を記述したドキュメント」であり、同時に「実行可能なソフトウェア」である。
- `depends_on`を打つ前に、「なぜTerraformは依存関係を理解できないのか？」と自問自答せよ。
- 循環依存が見えたら、設計を分割せよ。
- ツールに頼り、人間は「インフラの疎結合化」という上位の抽象概念に集中せよ。
このレベルで設計されたIaCは、数年後もメンテナンス可能な「資産」になる。さあ、今すぐコードをリファクタリングして、依存地獄から脱却しよう。