Spacelift compara formas de importar recursos existentes para o OpenTofu e recomenda import blocks

O tutorial da Spacelift compara duas formas de trazer para o OpenTofu recursos criados fora do código. O comando tofu import da CLI trata um objeto por vez e grava direto no state, sem preview nem aprovação. O import block é avaliado no tofu plan e executado no tofu apply, então a mudança passa por revisão e fica registrada no código. Por isso a recomendação é usar os blocos.

Os blocos existem desde o OpenTofu 1.6. O for_each chegou na 1.7, e o argumento identity na 1.12. O identity serve para recursos com chave composta, como o aws_security_group_rule, e substitui a string única do argumento id por um objeto baseado no schema de identidade do recurso. A geração de configuração com -generate-config-out segue experimental e não funciona com for_each nem count. O guia manda tratar o código gerado como rascunho. Entre as práticas citadas estão usar remote state, ativar versionamento do state antes de importar e importar em lotes pequenos via CI, revisando até cerca de 20 recursos por pull request.

Para quem opera pipelines de IaC, o import block muda o fluxo. O import deixa de ser um passo manual e sem rastro e vira mudança revisável em pull request, com plan visível antes de qualquer alteração no state. Isso vale em migrações, recuperação de state e correção de mudanças de emergência. Como a versão do OpenTofu define quais recursos você tem (for_each, identity), vale conferir a versão fixada nos pipelines antes de planejar um lote grande.