Outputs Terraform : type, sensibilité et precondition

Un output expose une valeur hors du module : le résultat d'une configuration, lu par un humain, un autre module ou un pipeline. Le déclarer est simple. Ce qui piège, c'est ce que sensitive ne masque pas, la façon dont la sensibilité se propage à travers les expressions, et le fait qu'un output n'est pas passif : un precondition peut faire échouer le plan.

Ce guide part de la base, la déclaration et le typage, puis traite la sensibilité et sa propagation, nonsensitive(), le precondition, depends_on et ephemeral. Tous les comportements ont été vérifiés sur Terraform v1.15.4.

Ce que vous allez apprendre

• Les sept arguments réels du bloc output
• La contrainte de type sur un output (Terraform 1.15)
• Pourquoi sensitive ne protège pas le secret, et où il reste en clair
• Comment la sensibilité se propage, même à travers sha256
• nonsensitive() pour exposer volontairement une valeur dérivée
• Le precondition qui bloque le plan, et depends_on, et ephemeral

Prérequis

• Ressources et attributs (déclarer des ressources Terraform)
• Variables et sensibilité (variables Terraform)
• Terraform 1.15.x, la série stable courante

Les sept arguments d'un bloc output

Un output ne se réduit pas à value. Le bloc accepte sept arguments, et quatre sont souvent ignorés :

Argument	Rôle
value	requis, l'expression exposée
description	documente l'output
type	contrainte de type (Terraform 1.15)
sensitive	masque l'affichage (défaut false)
ephemeral	exclut la valeur du state et du plan (1.10+)
depends_on	dépendance explicite pour l'ordonnancement
precondition	garantie évaluée au plan, échoue si fausse

Glissez pour voir

output "url_service" {
  type        = string
  value       = "https://${aws_lb.front.dns_name}"
  description = "URL publique du service."
}

Depuis Terraform 1.15, la contrainte type documente le contrat du module, exactement comme pour une variable, et améliore la cohérence entre validation, plan et apply.

sensitive masque l'affichage, pas le state

Voici le malentendu central, et il est dangereux. sensitive = true ne protège pas le secret. Il masque la valeur dans la sortie humaine de plan, apply et terraform output, rien de plus. La documentation est explicite :

When you run Terraform commands with a local state file, Terraform stores the state as plain text, including variable values, even if you have flagged them as sensitive.

Concrètement, terraform show -json, terraform output -json et terraform output -raw rendent la valeur en clair, et le fichier d'état la stocke telle quelle.

output "mot_de_passe" {
  value     = random_password.admin.result
  sensitive = true
}

Deux flags qui lèvent la redaction

terraform output -json et terraform output -raw affichent les valeurs sensibles en clair : « When using the -json or -raw command-line flags, Terraform displays sensitive values in plain text. » -raw ne fonctionne par ailleurs que sur une chaîne, un nombre ou un booléen, jamais une liste ou un objet. La vraie protection reste un state chiffré et à accès restreint.

La sensibilité se propage, même à travers une fonction

C'est le comportement qui bloque réellement les apprenants. Toute expression qui utilise une valeur sensible devient sensible. Un output qui référence un attribut sensible sans sensitive = true est refusé au plan :

Error: Output refers to sensitive values

La documentation le formule ainsi : « Expressions used in outputs can only refer to sensitive values if the sensitive attribute is true. » Et la contagion traverse les fonctions : le sha256 d'un mot de passe reste sensible, alors qu'un hachage n'est pourtant pas réversible.

nonsensitive() : déclassifier volontairement

Pour exposer sciemment une valeur dérivée d'un secret mais qui ne le divulgue pas, comme un hachage, on la déclassifie avec nonsensitive() :

output "empreinte" {
  value = nonsensitive(sha256(random_password.admin.result))
}

nonsensitive() est un engagement

nonsensitive() retire la marque sensible : ne l'employez que sur une valeur dont vous avez prouvé qu'elle ne divulgue rien. L'appliquer au secret lui-même l'exposerait en clair partout. Un sha256 est un bon candidat, un substr du mot de passe n'en est pas un.

Pour exclure réellement une valeur du state et du plan, c'est ephemeral = true (Terraform 1.10+), réservé aux modules enfants et interdit dans le module racine, pas sensitive.

Un output n'est pas passif : precondition et depends_on

On présente souvent l'output comme purement passif, incapable d'agir. C'est faux sur deux points. Un bloc precondition, avec un error_message obligatoire, fait échouer le plan si sa condition est fausse. C'est la garantie de dernière ligne d'un module, évaluée au plan :

output "empreinte_rapport" {
  value = sha256(local_file.rapport.content)

  precondition {
    condition     = var.longueur >= 20
    error_message = "longueur doit valoir au moins 20."
  }
}

Et depends_on sur un output ordonne les opérations : « Terraform completes operations on upstream resources before computing dependent outputs. » Utile quand la dépendance n'apparaît pas dans l'expression value, à réserver aux cas où aucune référence ne l'exprime.

Dépannage

Ces symptômes touchent presque tous à la sensibilité ou au type. Le tableau les relie à leur cause.

Symptôme	Cause	Solution
Output refers to sensitive values	Un output référence un secret sans être marqué	Ajouter sensitive = true, ou nonsensitive() si la valeur ne divulgue rien
Un secret apparaît en clair dans un pipeline	output -json et -raw lèvent la redaction	Chiffrer le state, ne pas logger le JSON, ou ephemeral en module enfant
terraform output -raw échoue	La valeur n'est pas une chaîne, un nombre ou un booléen	Utiliser -json, ou exposer un attribut scalaire
Le plan échoue sur un output	Un precondition a rejeté la valeur	Corriger l'entrée, la condition n'est pas satisfaite
ephemeral refusé au module racine	Il est réservé aux modules enfants	Le retirer, ou déplacer l'output dans un module appelé

Glissez pour voir

À retenir

1. Le bloc output a sept arguments : value, description, type, sensitive, ephemeral, depends_on, precondition.
2. Depuis 1.15, un output peut être typé, comme une variable.
3. sensitive masque l'affichage, pas le state : -json et -raw rendent la valeur en clair.
4. La sensibilité se propage, même à travers sha256 : un output dérivé d'un secret doit être sensible, ou déclassifié.
5. nonsensitive() expose volontairement une valeur dérivée sûre ; à manier avec preuve.
6. ephemeral exclut réellement du state, mais seulement en module enfant.
7. Un precondition sur un output bloque le plan ; depends_on ordonne.

FAQ : questions fréquentes

Les questions ci-dessous reprennent les confusions les plus fréquentes sur les outputs : la vraie portée de sensitive, la propagation de la sensibilité, et le rôle actif du precondition.

Un output sensitive protège-t-il vraiment le secret dans Terraform ?

Non. sensitive masque la valeur dans l'affichage humain de plan, apply et terraform output, mais elle reste en clair dans le state, dans terraform output -json et dans terraform output -raw. La vraie protection est un state chiffré et à accès restreint, ou ephemeral.

Pourquoi Terraform refuse un output qui expose un mot de passe ?

Parce que la sensibilité se propage : une expression qui utilise une valeur sensible devient sensible. Un output qui référence un attribut sensible sans sensitive = true est refusé au plan avec Output refers to sensitive values. Il faut marquer l'output sensitive.

Le sha256 d'un secret est-il sensible dans Terraform ?

Oui. La sensibilité se propage à travers les fonctions : sha256 d'un mot de passe reste sensible, même si un hachage n'est pas réversible. Pour exposer une telle valeur dérivée dans un output non sensible, il faut la déclassifier explicitement avec nonsensitive().

Peut-on contraindre le type d'un output Terraform ?

Oui, depuis Terraform 1.15. Un bloc output accepte un argument type, comme une variable : par exemple type = object({ nom = string, actif = bool }). Cela documente le contrat du module et améliore la cohérence entre validation, plan et apply.

Un output Terraform peut-il faire échouer un plan ?

Oui, avec un bloc precondition. Terraform l'évalue au moment du plan, et si la condition est fausse il arrête l'opération avec l'error_message, obligatoire. Un output n'est donc pas purement passif : il peut porter la garantie de dernière ligne d'un module.

Pourquoi terraform output -raw échoue-t-il sur mon output ?

Parce que -raw ne supporte que les valeurs string, number et boolean. Un output de type liste, map ou objet fait échouer -raw. Il faut alors utiliser -json, ou exposer un attribut scalaire. Attention : -raw affiche aussi les valeurs sensibles en clair.

À quoi sert ephemeral sur un output Terraform ?

ephemeral, depuis Terraform 1.10, exclut réellement la valeur de l'output du state et du plan, là où sensitive ne fait que masquer l'affichage. Il est réservé aux modules enfants, interdit dans le module racine, et la valeur doit provenir d'un contexte éphémère.

Pour aller plus loin

• sensitive : masquer les valeurs : Masque une valeur dans la sortie sans la protéger dans le state.
• Les valeurs éphémères : Garde un secret hors du state, complément d'un output sensible.
• Variables et outputs d'un module : Applique les outputs à l'interface d'un module réutilisable.

×

📖 Voir la documentation →