OpenTofu (IaC Infrastructure as Code)

OpenTofu ist das unter dem Dach der herstellerneutralen Linux Foundation entwickelte Open-Source-Standardwerkzeug für Infrastructure as Code (IaC). Es entstand als direkter, quelloffener Nachfolger (Fork) von HashiCorp Terraform, nachdem der ursprüngliche Hersteller seine Lizenz auf eine kommerziell eingeschränkte Business Source License umgestellt hatte.

Mit OpenTofu beschreiben Administratoren und Systemarchitekten ihre gesamte IT-Infrastruktur – von virtuellen Maschinen auf Proxmox VE über Speicherpools, Netzwerke und Firewall-Regeln bis hin zu Cloud-Servern bei Hetzner, IONOS oder OpenStack – in lesbaren Textdateien. Statt Server zeitraubend per Mausklick einzurichten, baut OpenTofu komplette Systemumgebungen reproduzierbar und automatisiert auf.

Warum Infrastructure as Code auch für mittelständische IT-Teams ein großer Gewinn ist

In vielen gewachsenen IT-Abteilungen wurden Server über Jahre hinweg manuell eingerichtet. Fällt ein wichtiger Server aus oder soll eine identische Testumgebung aufgebaut werden, weiß oft niemand mehr genau, welche Einstellungen vor drei Jahren von Hand gesetzt wurden.

Mit OpenTofu ist die Infrastruktur-Konfiguration gleichzeitig die aktuelle Dokumentation: Jede Änderung wird in der Versionsverwaltung (z. B. GitLab) nachvollziehbar gespeichert. Zudem ist OpenTofu durch die Verankerung bei der Linux Foundation dauerhaft frei von Lizenzgebühren pro verwaltetem Server und bringt eine direkt integrierte Verschlüsselung der Zustandsdateien (State Encryption) mit.

Zwei typische Risiken im Betrieb: Unverschlüsselte State-Dateien und manuelle Eingriffe

Bei der Arbeit mit Infrastructure as Code speichert das Werkzeug den aktuellen Ist-Zustand aller verwalteten Server in einer sogenannten State-Datei. Da diese Datei oft auch Passwörter, API-Schlüssel oder Zertifikate enthält, darf sie niemals unverschlüsselt auf einem frei zugänglichen Laufwerk abgelegt werden.

Ein zweiter Klassiker im Alltag ist das nachträgliche Ändern von Einstellungen per Mausklick an der Serveroberfläche vorbei („ClickOps“): Beim nächsten automatisierten OpenTofu-Lauf erkennt das System die Abweichung und setzt die manuelle Änderung wieder auf den definierten Standard zurück.

3 Schritte für den reibungslosen Einsatz von OpenTofu

• Nahtloser Wechsel von Terraform auf OpenTofu: Bestehende Terraform-Konfigurationen und Provider-Module (für Proxmox, VMware, OpenStack, Hetzner oder AWS) sind 1:1 kompatibel – in der Regel genügt der Austausch des Programmaufrufs auf tofu.
• Integrierte State-Verschlüsselung einschalten: Aktivieren Sie in Ihrer Konfiguration die native Verschlüsselung der State-Datei, damit Zugangsdaten im zentralen Speicher niemals im Klartext liegen.
• Vier-Augen-Prinzip vor Infrastrukturänderungen nutzen: Lassen Sie sich vor jeder Umsetzung die geplanten Änderungen per tofu plan anzeigen und geben Sie produktive Anpassungen gemeinsam im Team frei.