Wer liefert eigentlich deine Provider?

Der Wechsel von Terraform auf OpenTofu ist ein Einzeiler: terraform raus, tofu rein, und meistens läuft alles weiter wie vorher. Genau deshalb übersehen die meisten die eigentlich wichtige Frage. Sie lautet nicht, welcher Befehl. Sie lautet: wer liefert dir eigentlich deine Provider, und kann dir dieser Weg irgendwann entzogen werden?

Das Paradoxe daran: Zieht man denselben Provider einmal über Terraform und einmal über OpenTofu, ist die heruntergeladene Datei Byte für Byte identisch. Gleicher Code, gleiche Prüfsumme. Und trotzdem ist nur einer der beiden Wege souverän.

Der Unterschied liegt nicht im Code. Er liegt im Vertriebsweg.

Der Beweis passt in ein Kommando:

sha256sum terraform-provider-hcloud_v1.67.0
598a090eb8fb...  # aus registry.terraform.io
598a090eb8fb...  # aus registry.opentofu.org

Zwei verschiedene Registries, dasselbe Artefakt. Der Unterschied liegt eine Ebene höher, nämlich darin, wem der Kanal gehört: registry.terraform.io gehört seit der Übernahme IBM, registry.opentofu.org dem OpenTofu-Projekt unter dem Dach der Linux Foundation. Und als HashiCorp die Lizenz wechselte, wurde die Terraform-Registry für fremde Software geschlossen. Nicht der Code wurde verschlossen, sondern der Bezugsweg. Das ist Vendor Lock-in in seiner leisesten Form.

Im neuen Video zeige ich beides: wie du das im Lock-File selbst nachliest, und wie du dir den Kanal zurückholst, mit einem tofu init, das komplett ohne Internet durchläuft.

Video ansehen →

Zum Ausdrucken und Weitergeben: Lock-File lesen, Mirror bauen, offline verifizieren, als kompakter Spickzettel im PDF-Format, vier Seiten, auch fürs Team.

Lieber lesen als schauen? Den technischen Kern habe ich auch als Beitrag aufgeschrieben, inklusive der Frage, warum OpenTofus Lock-File über Plattformen hinweg trägt.

Bis nächste Woche,
Christian