Vous devez standardiser votre infrastructure, aller vite sans casser, et garder le contrôle. L’Infrastructure as Code (IaC) vous y aide, mais un choix revient toujours: Terraform ou AWS CloudFormation ? Les deux sont puissants, mais ils n’ouvrent pas les mêmes portes. Si vous visez le multi‑cloud, la portabilité ou une gouvernance fine, vous ne trancherez pas de la même façon que si vous êtes 100% AWS et profondément intégré aux services natifs. Voici le comparatif essentiel, clair et actionnable, pour décider en connaissance de cause.
Présentation Des Outils
Terraform En Bref
Terraform est un outil IaC orienté multi‑cloud. Vous décrivez vos ressources en HCL (HashiCorp Configuration Language), générez un plan, puis appliquez. Son atout majeur: une vaste écosphère de « providers » (AWS, Azure, GCP, Kubernetes, Cloudflare, SaaS…) et un registre public de modules. La gestion d’état (state) est externe et configurable (S3 + DynamoDB pour le verrouillage, Terraform Cloud, etc.). Depuis 2023, Terraform est sous licence BUSL, et une alternative communautaire, OpenTofu (MPL-2.0), suit une trajectoire compatible.
AWS CloudFormation En Bref
CloudFormation est le service IaC natif d’AWS. Vous décrivez l’infrastructure en YAML/JSON et AWS orchestre la création via des « stacks ». Avantages clés: intégration serrée avec IAM, CloudTrail, CloudWatch, StackSets pour le multi‑compte, Change Sets pour prévisualiser les modifications, drift detection intégrée et rollback automatique. Vous restez toutefois lié à AWS (même si l’écosystème propose des modules, macros et le transform AWS::LanguageExtensions pour des motifs plus dynamiques).
Critères De Comparaison Clés
Portabilité Et Multi-Cloud
Si vous devez gérer plusieurs clouds, Terraform prend l’avantage: un seul langage, une logique homogène et des providers matures. Vous centralisez vos patterns d’infra pour AWS, Azure, GCP, mais aussi vos couches réseau on‑prem ou vos services SaaS.
CloudFormation, lui, excelle quand votre périmètre est 100% AWS. Il parle le langage AWS de bout en bout, suit rapidement les nouveautés de la plateforme et s’intègre nativement aux comptes, organisations et régions.
Langage, Syntaxe Et Courbe D’Apprentissage
Terraform (HCL) offre une syntaxe lisible, avec variables, expressions, for_each, count et blocs dynamiques. La courbe d’apprentissage est douce et la communauté est prolifique en exemples.
CloudFormation utilise YAML/JSON avec des fonctions intrinsèques (Ref, GetAtt, Sub, If…). C’est verbeux, mais prévisible. Depuis AWS::LanguageExtensions, vous disposez de constructions plus expressives (par exemple Fn::ForEach), ce qui réduit l’écart de confort avec HCL.
Gestion De L’État Et Collaboration
Terraform requiert un backend de state (S3, Terraform Cloud, etc.) et un mécanisme de verrouillage (DynamoDB) pour éviter les conflits. Bien configuré, c’est robuste et compatible GitOps. Terraform Cloud/Enterprise ajoute workspaces, verrouillage, historiques et permissions.
CloudFormation gère l’état côté service: pas de backend à opérer. Les mises à jour concurrentes sont gérées par AWS. Pour les équipes distribuées, c’est un vrai gain de simplicité.
Modules, Réutilisation Et Registres
Terraform brille avec son Terraform Registry, les modules versionnés et les sources variées (Git, registries privés). Vous factorisez et publiez vos « briques d’infra » facilement.
CloudFormation supporte les stacks imbriqués, les StackSets, les modules CloudFormation et les « transforms » (SAM, LanguageExtensions). La réutilisation est solide, mais l’écosystème public est moins vaste que le registry Terraform.
Dépendances, Orchestration Et Boucles
Terraform construit un graphe de dépendances et ordonne automatiquement les opérations. Vous pouvez être explicite (depends_on) et utiliser for_each/count pour générer des ressources de façon déclarative.
CloudFormation résout aussi les dépendances via les références (Ref, GetAtt). Pour les boucles et motifs répétitifs, vous vous appuyez sur AWS::LanguageExtensions, les macros ou des générateurs en amont. Moins direct que HCL, mais suffisant dans beaucoup de cas.
Détection Du Drift, Mises À Jour Et Rollback
Terraform détecte le drift via plan/apply (ce qui a dérivé de l’état). Vous validez le plan avant d’appliquer. En revanche, pas de « rollback automatique » global: vous devez réappliquer une configuration précédente ou restaurer un state.
CloudFormation propose la drift detection au niveau des stacks, les Change Sets pour simuler, et un rollback automatique si une mise à jour échoue. Pour des environnements réglementés, cette sécurité intégrée pèse lourd.
Tests, Validation Et CI/CD
Côté Terraform: terraform validate, tflint, checkov (policy as code), Terratest (tests Go), plus une intégration sans friction avec GitHub Actions, GitLab CI, Jenkins, etc.
Côté CloudFormation: cfn-lint, CloudFormation Guard (cfn-guard) pour imposer des règles, taskcat pour tester des templates multi‑régions, et une intégration naturelle avec CodePipeline/CodeBuild, ou n’importe quel pipeline tiers.
Sécurité, Politiques Et Gouvernance
Avec Terraform, vous pouvez appliquer des politiques via Sentinel (Terraform Cloud/Enterprise) ou OPA/Conftest, contrôler finement les permissions, et séparer les workspaces par environnement. En complément, vous utiliserez les garde‑fous cloud (SCP, IAM, Config, etc.).
Avec CloudFormation, vous bénéficiez d’IAM natif, des Stack Policies, de CloudFormation Guard, d’AWS Config et d’EventBridge pour auditer et réagir. Couplé à AWS Organizations et aux SCP, c’est une chaîne de gouvernance très cohérente si vous restez chez AWS.
Coûts Et Modèle De Licence
CloudFormation n’a pas de coût d’usage direct: vous payez uniquement les ressources déployées.
Terraform CLI est gratuit, mais la licence BUSL limite certains usages commerciaux. Terraform Cloud/Enterprise est payant (RBAC avancé, files d’exécution, politiques). Si vous voulez du 100% open source, OpenTofu (fork communautaire de Terraform, MPL‑2.0) est une option à considérer. Au total, le TCO dépendra surtout du temps d’exploitation, de la gouvernance requise et des intégrations multi‑cloud.
Cas D’Usage Et Scénarios De Choix
Environnements 100% AWS
Si toute votre activité tourne sur AWS, CloudFormation simplifie la vie: état géré par AWS, intégration profonde (IAM, KMS, CloudWatch, CloudTrail), Change Sets, StackSets multi‑comptes et un rollback fiable. Vous restez près du métal AWS et profitez des nouveautés rapidement.
Multi-Cloud Ou Cloud-Hybride
Dès que vous jonglez entre AWS, Azure, GCP, Kubernetes ou du on‑prem, Terraform est plus naturel. Un seul outillage, des modules communs, une équipe formée à HCL, et un pattern GitOps uniforme. Vous y gagnez en portabilité et en standardisation.
Startups Versus Grandes Entreprises
- Startup: vous voulez aller vite, limiter l’outillage et shipper. Si vous êtes full AWS, CloudFormation + CodePipeline vous donne un chemin droit et peu coûteux. Si vous prévoyez du multi‑cloud à court terme, commencez avec Terraform pour éviter un futur portage.
- Grande entreprise: exigences de gouvernance, séparation des rôles, policy as code et multi‑comptes. CloudFormation excelle pour un socle AWS gouverné (Organizations, SCP, StackSets). Terraform (ou OpenTofu) devient clé si vous standardisez à l’échelle sur plusieurs clouds et SaaS.
Équipes Plateforme Versus Équipes Produit
Une équipe plateforme peut fournir des modules/stacksets « pave the road » et imposer des politiques (cfn‑guard, Sentinel/OPA). Les équipes produit consomment ces briques sans réinventer la roue. Terraform facilite un catalogue transversal multi‑cloud. CloudFormation facilite un catalogue AWS natif, proche des bonnes pratiques officielles.
Stratégies De Migration Et De Coexistence
Approche Progressive Et Cartographie Des Ressources
Commencez par cartographier vos stacks/projets et leur criticité. Identifiez les « quick wins »: réseaux partagés, comptes non‑prod, ou ressources stateless. Migrez par domaines fonctionnels plutôt que par comptes entiers. Conservez des runbooks de rollback et versionnez vos états.
Coexistence Par Domaine Ou Par Compte
Vous pouvez faire cohabiter CloudFormation pour le socle (landing zones, IAM, CloudTrail, Config) et Terraform pour les couches applicatives multi‑cloud (CDN, DNS, SaaS). Une autre approche: séparer par comptes AWS, comptes foundation en CloudFormation, comptes produit en Terraform, avec des interfaces claires (exports/outputs) et des frontières IAM bien définies.
Antipatterns À Éviter
Évitez de piloter la même ressource avec les deux outils. Ne mélangez pas modules non versionnés et déploiements manuels en prod. Méfiez‑vous des “snowflakes”: si une correction se fait à la main en urgence, formalisez‑la ensuite dans le code et remettez l’état au carré (drift resolu). Gardez des secrets hors des templates, dans un gestionnaire dédié (Secrets Manager, SSM Parameter Store, Vault).
Recommandations Pratiques
Matrice De Décision Rapide
- 100% AWS, besoin de rollback auto et intégration native: privilégiez CloudFormation.
- Multi‑cloud, besoin d’un langage unique et d’un registry riche: privilégiez Terraform (ou OpenTofu si vous exigez une licence open source permissive).
- Gouvernance AWS Organizations/StackSets au cœur: CloudFormation en socle, Terraform possible pour l’applicatif.
- Forte exigence de policy as code transverse: Terraform Cloud + Sentinel/OPA, ou CloudFormation Guard côté AWS.
Bonnes Pratiques De Mise En Œuvre
Structurez vos projets par environnements (prod/stage/dev) et conventions de nommage stables. Versionnez strictement vos modules et vos templates. Activez la drift detection (des deux côtés) et imposez des revues de plans (Change Sets ou plan Terraform) avant tout apply. Sécurisez l’état: backend chiffré, verrouillage, accès restreint. Automatisez via CI/CD, avec linting (tflint/cfn‑lint), tests (Terratest/taskcat) et contrôles de sécurité (checkov/cfn‑guard). Enfin, documentez vos contrats d’interface entre stacks/modules pour éviter les couplages implicites.
Conclusion
Si vous vivez entièrement dans AWS, CloudFormation vous donnera un cycle de vie propre, une gouvernance native et des déploiements sûrs. Si votre horizon est multi‑cloud, Terraform vous apportera la portabilité, un langage unique et un écosystème massif. Dans bien des organisations, les deux coexistent intelligemment: CloudFormation pour le socle, Terraform pour le transversal. L’important, c’est de décider en fonction de vos contraintes réelles, et de l’assumer dans vos pratiques d’ingénierie, vos politiques et votre automatisation.
No responses yet