こんにちは。インフラエンジニアとして数多の戦場を渡り歩いてきましたが、多くのエンジニアが最初に直面し、そして心を折られるのが「強固な企業ファイアウォールとプロキシ」の壁です。
Terraformを導入しようと意気揚々に `terraform init` を叩いた瞬間、真っ赤なエラーログが流れる。「SSL証明書が検証できない」「ダウンロードがタイムアウトした」……。これはあなたのコードが悪いのではありません。現代の厳格なセキュリティ環境と、インターネットの自由を前提としたTerraformの設計が衝突しているだけなのです。
今日は、この「プロキシの壁」を完封し、どんな閉鎖環境でもTerraformをヌルヌルと動かすための「極限のセットアップ術」を伝授します。
—
1. なぜ「Terraform init」はプロキシで死ぬのか？
Terraformの `init` コマンドが実行されるとき、裏では何が起きているかご存知でしょうか？
1. Registryへの問い合わせ: `registry.terraform.io` にアクセスし、プロバイダ（AWSやAzureなど）のメタデータを取得する。
2. バイナリのダウンロード: 指定されたバージョンのプロバイダバイナリをGitHub等の公開リポジトリから取得する。
企業環境では、ここで2つの強力な壁が立ちはだかります。
- SSLインスペクション: 会社が発行したルート証明書が信頼されず、「自己署名証明書」としてSSLエラーになる。
- 直接アクセスの禁止: プロキシサーバーを経由しない通信が全て遮断されている。
これらを「力技」で突破する方法を解説します。
—
2. 環境変数の「極意」：プロキシの透過
まずは、シェルが確実にプロキシを通るように設定します。`.bashrc` や `.zshrc` に以下を書き込んでください。ここで重要なのは「SSL検証を回避する設定」ではなく、「信頼された証明書を教える設定」です。
プロキシ設定
export http_proxy=”http://proxy.your-company.com:8080″
export https_proxy=”http://proxy.your-company.com:8080″
重要：自社ルート証明書の場所を教える（これが無いとSSLエラーが消えません）
export SSL_CERT_FILE=”/path/to/your/company-root-ca.pem”
※ `SSL_CERT_FILE` を設定することで、Terraformは「会社が発行した証明書」を正当なものとして受け入れるようになります。
—
3. プラグインミラーによる「完全オフライン化」
インターネット接続が不安定、あるいは極めて制限が厳しい場合、都度ダウンロードさせるのは非効率です。ここで `filesystem_mirror` の出番です。
これは「Terraformを騙して、ネットではなくローカルのフォルダを見に行かせる」手法です。
手順A: CLI設定ファイル（.terraformrc）の作成
ホームディレクトリに `.terraformrc` を作成します。
プラグインキャッシュの設定（ダウンロードを一度だけに制限）
plugin_cache_dir = “$HOME/.terraform.d/plugin-cache”
ミラー設定（ネットを見ずにローカルの指定フォルダを見に行く）
provider_installation {
filesystem_mirror {
path = “/usr/local/share/terraform/plugins”
include = [“registry.terraform.io/hashicorp/”]
}
}
手順B: プロバイダの配置
`/usr/local/share/terraform/plugins` ディレクトリに、必要なプロバイダバイナリを `registry.terraform.io/hashicorp/aws/5.0.0/linux_amd64/terraform-provider-aws_v5.0.0_x5` のような階層構造で配置するだけです。これで `terraform init` は爆速かつ確実に成功します。
—
4. HelloWorld的な動作確認
準備が整ったら、最小構成でテストしましょう。`main.tf` を作成します。
動作確認用のプロバイダ定義
terraform {
required_providers {
null = {
source = “hashicorp/null”
version = “3.2.1”
}
}
}
resource “null_resource” “hello” {
provisioner “local-exec” {
command = “echo ‘プロキシの壁を突破しました！'”
}
}
この状態で `terraform init` を叩いてください。
もし設定が正しければ、`Terraform has been successfully initialized!` という美しいメッセージが表示されるはずです。
—
先輩エンジニアからのアドバイス
初心者がやりがちなミスは、`export https_proxy` を設定しただけで満足してしまうことです。しかし、厳格な環境では「Terraformがどこを見に行くべきか（ミラー）」を明確に定義することが、後の巨大なインフラ構築における安定性に直結します。
このセットアップができれば、あなたはもう「プロキシエラー」という名の無駄な残業から解放されます。IaCの真髄は、こうした「環境の差異をいかにコードで吸収するか」にあります。
さあ、次はどんなインフラをコードで支配しますか？ 準備ができたら、またいつでも相談してください。応援していますよ。