Протокол контекста модели (Model Context Protocol, MCP) стал отраслевым стандартом, особенно после того, как Anthropic передала его в Linux Foundation в конце 2025 года. PulseMCP, например, размещает более 21 000 MCP-серверов, многие из которых доступны для DevOps и инструментов инфраструктуры как кода (IaC).

Каждый инженер, который просил большую языковую модель (LLM) написать код на OpenTofu, знает, что модели могут выдавать код, который выглядит корректно, но больше не работает, поскольку в последней версии провайдера был удален какой-то атрибут.

OpenTofu MCP server существует именно для решения этой проблемы. В этой статье мы рассмотрим OpenTofu MCP server, что он предоставляет, чем он отличается от Terraform MCP server от HashiCorp, как подключить его к вашему ассистенту и как комбинировать его с такой платформой, как Spacelift.

Что мы рассмотрим:

Что предоставляет OpenTofu MCP server
Сравнение OpenTofu MCP server и Terraform MCP server
Использование OpenTofu MCP server на практике
Сторонние OpenTofu MCP-серверы для операций с CLI

OpenTofu MCP server — это официальный сервер Model Context Protocol с правами только на чтение, который позволяет любому MCP-совместимому AI-ассистенту выполнять поиск в реестре OpenTofu и получать актуальную документацию для провайдеров, модулей, ресурсов и источников данных (datasources), чтобы сгенерированный код использовал актуальные аргументы вместо устаревших. Он никогда не запускает команды tofu, не читает состояние и не обрабатывает учетные данные, поэтому вы можете оставлять его подключенным постоянно. Укажите своему клиенту адрес https://mcp.opentofu.org/mcp или запустите его локально с помощью npx @opentofu/opentofu-mcp-server.

OpenTofu MCP server — это официальный проект организации OpenTofu, который реализует протокол MCP поверх реестра OpenTofu. Он позволяет всем MCP-совместимым ассистентам выполнять поиск по реестру и получать актуальную документацию для провайдеров, модулей, ресурсов и источников данных.

Это важно, поскольку провайдеры OpenTofu постоянно обновляются, и если вы используете AI-ассистентов для генерации кода OpenTofu, MCP-сервер поддерживает вашу документацию в актуальном состоянии и снижает вероятность ошибок. Когда ваш AI-ассистент использует OpenTofu MCP server, он получает актуальные данные реестра в виде текста, и то, как он поступает с этим текстом, полностью зависит от самого ассистента и его конфигурации.

OpenTofu MCP server не затрагивает файл состояния (state), ваши облачные учетные данные или рабочий каталог; их затрагивают только другие вызовы инструментов, которые может делать ваш AI-ассистент, поэтому обязательно настройте своего агента соответствующим образом, чтобы минимизировать вероятность возникновения проблем. С OpenTofu MCP server худшим сценарием является неверный результат поиска, поэтому его безопасно оставлять подключенным постоянно.

OpenTofu MCP server предлагает следующие инструменты поиска и получения информации из реестра:

search-opentofu-registry: Позволяет искать провайдеры, модули, ресурсы и источники данных.
get-provider-details: Помогает получить подробную информацию о конкретном провайдере.
get-provider-versions: Помогает получить список доступных версий для провайдера.
get-module-details: Помогает получить подробную информацию о конкретном модуле.
get-module-versions: Помогает получить список доступных версий для конкретного модуля.
get-resource-docs: Помогает получить документацию для конкретного ресурса.
get-datasource-docs: Помогает получить документацию для конкретного источника данных.

Поиск в реестре OpenTofu (search-opentofu-registry)

search-opentofu-registry — это инструмент обнаружения, который позволяет вашему AI-ассистенту искать провайдеры, модули, ресурсы и источники данных в реестре OpenTofu.

Например, если вы хотите, чтобы ваш AI-ассистент сгенерировал какой-либо код OpenTofu без OpenTofu MCP server, он будет полагаться на те знания о провайдерах, модулях, ресурсах и источниках данных, которые у него уже есть. С OpenTofu MCP server инструмент search-opentofu-registry обнаружит всё необходимое вашему AI-ассистенту для выполнения запроса.

Получение сведений о провайдере (get-provider-details)

После того как вы определили провайдер с помощью search-opentofu-registry, можно использовать get-provider-details для получения более подробной информации о нем. Инструмент идентифицирует провайдеры по их пространству имен (namespace) и имени провайдера, а также помогает определить, какой провайдер использовать, какие ресурсы и источники данных принадлежат этому провайдеру и какие примеры доступны.

Получение версий провайдера (get-provider-versions)

Если всё, что вам нужно — это список версий, выпущенных провайдером, более легким вариантом является get-provider-versions. Он идентифицирует провайдеры так же, как get-provider-details, но возвращает только доступные версии и дату выпуска каждой из них вместо полной документации по провайдеру. Когда вы фиксируете версию провайдера, вам следует использовать именно этот инструмент, чтобы убедиться, что ограничение основано на том, что реально опубликовано в реестре.

Получение сведений о модуле (get-module-details)

Например, ваш AI-ассистент может знать о существовании популярного модуля для AWS EKS, но у него могут быть устаревшие данные об обязательных и необязательных входных параметрах, выходных данных, поддерживаемых версиях и примерах использования.

С помощью get-module-details он получит из реестра самую свежую информацию о конкретном модуле, что позволит ему сформировать блок модуля, совместимый с этой конкретной версией.

Получение версий модуля (get-module-versions)

get-module-versions работает так же, как get-provider-versions, но для модулей. Он возвращает каждую опубликованную версию модуля вместе с датой ее выпуска. Это позволяет легко проверить, какие версии модуля действительно существуют, прежде чем ваш AI-ассистент укажет в аргументе version блока модуля неопубликованное значение.

Получение документации по ресурсу (get-resource-docs)

get-resource-docs — один из наиболее полезных инструментов для генерации актуальной инфраструктурной документации OpenTofu.

Например, если вы попросите вашего AI-ассистента создать экземпляр AWS EC2 с подключенным томом EBS, он может выдать устаревшую конфигурацию с устаревшими аргументами или конфигурацию, которая вообще больше не работает.

С MCP-сервером он получит документацию по ресурсам перед тем, как решить, какие блоки и аргументы использовать, что снижает вероятность генерации неработающих конфигураций или конфигураций с устаревшими полями.

Получение документации по источникам данных (get-datasource-docs)

Источники данных позволяют конфигурациям OpenTofu получать информацию о существующей инфраструктуре. get-datasource-docs выполняет то же самое извлечение данных, что и get-resource-docs, но для источников данных.

Если AI-ассистенту нужно найти существующий VPC, подсеть, образ или любой другой объект конкретного провайдера, он может сначала получить документацию по источнику данных, а затем сгенерировать HCL. Благодаря OpenTofu MCP server он получает корректные данные, а не гадает.

Чего официальный сервер не делает

OpenTofu MCP server не выполняет следующие действия:

Запуск команд OpenTofu, таких как init, plan, apply или destroy. Бинарный файл tofu вообще не вызывается.
Чтение или запись состояния: OpenTofu MCP server не имеет концепции бэкенда или файла состояния.
Обращение к вашей файловой системе: ему не нужно читать вашу конфигурацию OpenTofu или создавать новые; эту часть выполняет ваш AI-ассистент, используя знания OpenTofu MCP Server.
Работа с учетными данными: здесь нет облачной аутентификации или аутентификации провайдера, поэтому утечка исключена.
Доступ к вашим частным реестрам: OpenTofu MCP Server запрашивает исключительно публичный реестр OpenTofu.

Важно понимать, что OpenTofu MCP server — это сервер знаний только для чтения, и вы можете предоставить к нему доступ всей своей инженерной команде без предварительной проверки безопасности, так как радиус потенциального ущерба равен нулю.

HashiCorp также поставляет Terraform MCP server. Его возможности весьма схожи с возможностями OpenTofu MCP server, однако вариант для Terraform будет делать запросы к реестру HashiCorp (включая политики Sentinel, для которых нет эквивалентов в OpenTofu, так как пользователи OpenTofu обычно используют политики Open Policy Agent), в то время как OpenTofu MCP server запрашивает реестр OpenTofu.

Terraform MCP server также может взаимодействовать с HCP Terraform (ранее Terraform Cloud) и Terraform Enterprise, позволяя создавать, обновлять и удалять рабочие пространства, создавать запуски, получать детали запусков и даже получать логи применения (apply).

Если вы используете OpenTofu и хотите, чтобы ваш ИИ-помощник перестал галлюцинировать аргументы ресурсов, выберите OpenTofu MCP server. Если вы глубоко вовлечены в экосистему HashiCorp и хотите использовать ИИ-помощник для управления Terraform Cloud или Terraform Enterprise, вам следует выбрать Terraform MCP server.

Давайте рассмотрим, насколько просто настроить OpenTofu MCP server:

Как установить OpenTofu MCP server

Вы можете установить OpenTofu MCP server локально либо использовать размещенный сервис, что рекомендуется командой OpenTofu.

Размещенный сервис доступен по адресу https://mcp.opentofu.org/mcp, он распределен по всему миру и всегда работает на актуальной сборке.

Установить его локально можно с помощью npx:

Или, если вам нужна глобальная установка, вы можете использовать npm:

Как подключить OpenTofu MCP server к вашему ИИ-помощнику

Для Claude Code вам просто нужно выполнить эту однострочную команду, после чего OpenTofu MCP server подключится к нему:

Более подробную информацию о других ИИ-помощниках можно найти .

Как генерировать код OpenTofu с помощью MCP server

После подключения OpenTofu MCP server вам не понадобятся какие-то особенные промпты для его использования. Вам следует четко указывать, какие ресурсы вам нужны, так как это позволяет ИИ-помощнику должным образом задействовать OpenTofu MCP server.

Не говорите: Сгенерируй конфигурацию OpenTofu для S3-бакета.

Говорите: Сгенерируй конфигурацию OpenTofu для S3-бакета. Для него требуется версионирование, шифрование на стороне сервера и блокировка публичного доступа. Обязательно проверьте реестр OpenTofu, чтобы узнать актуальные аргументы AWS-провайдера перед началом генерации.

Давайте воспользуемся приведенным выше промптом и посмотрим, что сгенерирует Claude Code. За кулисами Claude Code выполнил следующие операции:

opentofu - get-resource-docs (MCP)(namespace: "hashicorp", name: "aws", resource: "s3_bucket")
opentofu - get-resource-docs (MCP)(namespace: "hashicorp", name: "aws", resource: "s3_bucket_versioning")
opentofu - get-resource-docs (MCP)(namespace: "hashicorp", name: "aws", resource: "s3_bucket_server_side_encryption_configuration")
opentofu - get-resource-docs (MCP)(namespace: "hashicorp", name: "aws", resource: "s3_bucket_public_access_block"
opentofu - get-provider-details (MCP)(namespace: "hashicorp", name: "aws")

И вот какой код он сгенерировал:

Почему этот результат точнее, чем «холодная» генерация с помощью ИИ

«Холодная» генерация ИИ основана главным образом на извлечении из памяти. ИИ-модель воспроизводит статистически наиболее вероятный блок aws_s3_bucket на основе всего, что она видела при обучении. Данные обучения модели охватывают годы записей в блогах, Slack, вопросов на Stack Overflow и репозиториев GitHub/GitLab, большинство из которых описывают версии провайдеров, которые уже не существуют.

У модели нет возможности различить примеры версий, поэтому она смешивает их. Например, классическая проблема с S3-бакетами заключается в том, что сгенерированный код встраивает устаревший блок версионирования прямо в ресурс бакета.

Использование MCP server меняет несколько вещей:

Версия провайдера известна: с помощью get-provider-details можно получить актуальную последнюю версию.
Список аргументов извлекается, а не вспоминается по памяти: get-resource-details возвращает текущий список документации для ресурса.
Устаревшие функции (deprecation) видны.

Официальный OpenTofu MCP server намеренно останавливается перед выполнением команд CLI, однако сторонние проекты заполняют этот пробел. Одним из таких примеров является cloud-pilot-mcp, который предоставляет операции tofu CLI (init, plan, apply, destroy).

MCP server, который может запускать tofu apply и destroy, требует строгого контроля в отношении:

Доступа к стейту (state)
Облачных учетных данных
Доступа к файловой системе
Просмотра планов (plan)
Доступа к производственной среде
Управления секретами

ИИ не отменяет необходимость контроля; поскольку автономные агенты действуют на скорости машин, контроль становится еще более важным.

Хотя выполнение операций CLI через MCP server может казаться привлекательным, эти операции могут быть опасными.

Spacelift — это платформа оркестрации инфраструктуры, которая поддерживает OpenTofu, Terraform, Terragrunt, Pulumi, CloudFormation, Ansible и Kubernetes. Вы можете узнать больше о возможностях Spacelift здесь.

Spacelift также имеет собственный MCP server, который предоставляет пять инструментов: discover и query для GraphQL API, mutate для изменения ресурсов Spacelift, intent для управления облачными ресурсами с помощью естественного языка и provider для инспекции провайдеров, ресурсов и схем источников данных из реестра OpenTofu.

Предположим, у вас к ИИ-помощнику подключены и Spacelift MCP server, и OpenTofu MCP server, а последний запуск вашего стека завершился неудачно после того, как кто-то обновил версию провайдера. Попросив ИИ-помощника изучить и исправить конфигурацию, он сделает следующее:

использует Spacelift MCP server с инструментом query, чтобы понять, что произошло, получив логи неудавшегося запуска;
затем переключится на OpenTofu MCP server, чтобы выгрузить документацию для этого ресурса, точно увидев, какой аргумент изменился и чем он заменен;
после этого агент исправит код и отправит его в новую ветку;

в конце концов, он снова переключится на Spacelift MCP Server, чтобы выяснить, успешно ли завершился предложенный запуск, и сообщить вам статус запуска и план.

Права вашей сессии в Spacelift определяют, что именно может делать ИИ-помощник, будучи ограниченным ролевой моделью (RBAC), политиками входа и областями видимости OAuth, которые разделяют чтение и запись. Когда ваш помощник подготавливает ресурсы через intent, каждое действие Intent проходит через движок политик Spacelift на базе OPA.

OpenTofu MCP server дает вашему помощнику знания, в то время как Spacelift MCP server предоставляет управляемый путь для применения этих знаний на практике.

Благодаря OpenTofu MCP server вашему ИИ-помощнику больше не нужно гадать, какие аргументы требуются вашей конфигурации, поскольку он может легко их найти. Настройка представляет собой простую одноминутную процедуру.

Он спроектирован так, чтобы работать только в режиме чтения, поэтому вы можете оставлять его подключенным без риска того, что что-то пойдет не так.

Генерация конфигураций OpenTofu — это лишь часть истории. Вам нужно место для безопасного запуска кода и обеспечения всех необходимых функций для вашего рабочего процесса.

Если вы ищете платформу оркестрации инфраструктуры, которая поддерживает OpenTofu, имеет собственный MCP-сервер и помогает найти баланс между скоростью и контролем, запишитесь на демонстрацию Spacelift уже сегодня.

Часто задаваемые вопросы

Бесплатен ли в использовании OpenTofu MCP server?Да. Локальный OpenTofu MCP server является открытым ПО под лицензией Mozilla Public License 2.0 (MPL-2.0) и может запускаться без уплаты лицензионных сборов за программное обеспечение. Официальный хостинговый сервис по адресу mcp.opentofu.org доступен без необходимости локальной установки. Ознакомьтесь с условиями сервиса на предмет применимых расходов на использование.

Бесплатен ли в использовании OpenTofu MCP server?

Да. Локальный OpenTofu MCP server является открытым ПО под лицензией Mozilla Public License 2.0 (MPL-2.0) и может запускаться без уплаты лицензионных сборов за программное обеспечение. Официальный хостинговый сервис по адресу mcp.opentofu.org доступен без необходимости локальной установки. Ознакомьтесь с условиями сервиса на предмет применимых расходов на использование.

Где размещается OpenTofu MCP server?Официальный размещенный OpenTofu MCP server работает на Cloudflare Workers и доступен по адресу . Его глобально распределенная периферийная инфраструктура (edge deployment) разработана для обеспечения низкой задержки и высокой доступности.

Где размещается OpenTofu MCP server?

Официальный размещенный OpenTofu MCP server работает на Cloudflare Workers и доступен по адресу . Его глобально распределенная периферийная инфраструктура (edge deployment) разработана для обеспечения низкой задержки и высокой доступности.

Как установить OpenTofu MCP server?Укажите своему MCP-клиенту хостинговую конечную точку или запустите его локально с помощью npx @opentofu/opentofu-mcp-server. Для регулярного использования установите его глобально с помощью npm install -g @opentofu/opentofu-mcp-server и запускйте как opentofu-mcp-server.

Как установить OpenTofu MCP server?

Укажите своему MCP-клиенту хостинговую конечную точку или запустите его локально с помощью npx @opentofu/opentofu-mcp-server. Для регулярного использования установите его глобально с помощью npm install -g @opentofu/opentofu-mcp-server и запускйте как opentofu-mcp-server.

Может ли OpenTofu MCP server выполнять tofu plan или tofu apply? Нет. Официальный OpenTofu MCP server ориентирован на работу с Реестром (Registry). Он ищет провайдеры, модули, ресурсы и источники данных, а также извлекает их документацию и примеры конфигурации. Он не выполняет команды CLI OpenTofu, такие как tofu plan или tofu apply. Эти операции должны выполняться отдельно с помощью CLI OpenTofu или другого инструмента выполнения.

Может ли OpenTofu MCP server выполнять tofu plan или tofu apply?

Нет. Официальный OpenTofu MCP server ориентирован на работу с Реестром (Registry). Он ищет провайдеры, модули, ресурсы и источники данных, а также извлекает их документацию и примеры конфигурации. Он не выполняет команды CLI OpenTofu, такие как tofu plan или tofu apply. Эти операции должны выполняться отдельно с помощью CLI OpenTofu или другого инструмента выполнения.

Могу ли я использовать OpenTofu MCP server с Cursor и VS Code?Да. Оба редактора поддерживают его через свой settings.json, куда вы добавляете запись opentofu с типом streamable-http и URL-адресом . Cursor также предлагает кнопку установки в один клик на странице проекта на GitHub.

Могу ли я использовать OpenTofu MCP server с Cursor и VS Code?

Да. Оба редактора поддерживают его через свой settings.json, куда вы добавляете запись opentofu с типом streamable-http и URL-адресом . Cursor также предлагает кнопку установки в один клик на странице проекта на GitHub.