# Étape 1 : créer l'infrastructure du backend elle-même (bucket S3 + table DynamoDB)
# Attention : cette config initiale est généralement appliquée avec un state LOCAL, une seule fois
resource "aws_s3_bucket" "terraform_state" {
  bucket = "mon-org-terraform-state"

  lifecycle {
    prevent_destroy = true               # protège le bucket de state contre une suppression accidentelle
  }
}

resource "aws_s3_bucket_versioning" "state_versioning" {
  bucket = aws_s3_bucket.terraform_state.id
  versioning_configuration {
    status = "Enabled"                   # permet de revenir à une version antérieure du state en cas de corruption
  }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "state_encryption" {
  bucket = aws_s3_bucket.terraform_state.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm = "aws:kms"
    }
  }
}

resource "aws_dynamodb_table" "terraform_locks" {
  name         = "terraform-locks"
  billing_mode = "PAY_PER_REQUEST"
  hash_key     = "LockID"                 # nom de clé EXIGÉ par Terraform pour le verrouillage

  attribute {
    name = "LockID"
    type = "S"
  }
}

# Étape 2 : dans CHAQUE projet consommateur, configurer le backend
terraform {
  backend "s3" {
    bucket         = "mon-org-terraform-state"
    key            = "projets/api/terraform.tfstate"
    region         = "eu-west-3"
    dynamodb_table = "terraform-locks"
    encrypt        = true
  }
}

terraform init                            # bascule vers le backend distant, migre le state si demandé

# Le verrouillage est AUTOMATIQUE : un "apply" en cours empêche un autre "apply" concurrent
terraform apply
# -> "Acquiring state lock. This may take a few moments..."
# Si un lock est bloqué anormalement (process tué brutalement) :
terraform force-unlock <LOCK_ID>          # à utiliser avec EXTRÊME précaution

# --- Partager des sorties entre projets Terraform via un state distant (remote state data source) ---
data "terraform_remote_state" "reseau" {
  backend = "s3"
  config = {
    bucket = "mon-org-terraform-state"
    key    = "projets/reseau/terraform.tfstate"
    region = "eu-west-3"
  }
}

resource "aws_instance" "app" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.micro"
  subnet_id     = data.terraform_remote_state.reseau.outputs.subnet_prive_id   # output d'un AUTRE projet
}