컴플라이언스 대응: 표준 태깅, 감사 가능성, 변경 추적

# locals.tf
locals {
  common_tags = {
    Environment = var.environment
    Owner       = var.team_name
    CostCenter  = var.cost_center
    Project     = var.project_name
    ManagedBy   = "terraform"
    Repo        = "github.com/org/${var.project_name}"
    CreatedDate = formatdate("YYYY-MM-DD", timestamp())
  }
}

# variables.tf
variable "environment" {
  type        = string
  description = "배포 환경"
  validation {
    condition     = contains(["dev", "stage", "prod"], var.environment)
    error_message = "environment는 dev, stage, prod 중 하나여야 합니다."
  }
}

variable "team_name" {
  type        = string
  description = "담당 팀명"
}

variable "cost_center" {
  type        = string
  description = "비용 센터 코드 (예: CC-1234)"
  validation {
    condition     = can(regex("^CC-[0-9]{4}$", var.cost_center))
    error_message = "cost_center는 CC-XXXX 형식이어야 합니다."
  }
}

# 리소스에서 common_tags 활용
resource "aws_vpc" "main" {
  cidr_block = var.vpc_cidr

  tags = merge(local.common_tags, {
    Name = "${var.project_name}-vpc-${var.environment}"
  })
}

resource "aws_instance" "web" {
  ami           = data.aws_ami.amazon_linux.id
  instance_type = var.instance_type

  tags = merge(local.common_tags, {
    Name = "${var.project_name}-web-${var.environment}"
    Role = "web-server"
  })
}

# 좋은 커밋 메시지 예시
git commit -m "feat(ec2): prod 웹서버 인스턴스 타입 t3.medium → m5.large 변경

변경 이유: 트래픽 증가로 인한 성능 저하 대응
승인자: 팀장 홍길동 (Slack 승인 #infra-changes 2024-01-15 14:30)
Jira: INFRA-1234"

# Plan 결과를 파일로 저장 (감사 목적)
terraform plan -out=tfplan-$(date +%Y%m%d-%H%M%S).binary

# Plan 결과를 텍스트로 저장
terraform plan 2>&1 | tee plan-$(date +%Y%m%d-%H%M%S).log

# CloudTrail 설정 (Terraform으로 관리)
resource "aws_cloudtrail" "main" {
  name                          = "${var.project_name}-cloudtrail"
  s3_bucket_name                = aws_s3_bucket.cloudtrail_logs.id
  include_global_service_events = true
  is_multi_region_trail         = true
  enable_log_file_validation    = true

  event_selector {
    read_write_type           = "All"
    include_management_events = true

    data_resource {
      type   = "AWS::S3::Object"
      values = ["arn:aws:s3:::*"]
    }
  }

  tags = local.common_tags
}

resource "aws_s3_bucket" "cloudtrail_logs" {
  bucket = "${var.project_name}-cloudtrail-logs"

  # CloudTrail 로그 버킷은 삭제 방지
  lifecycle {
    prevent_destroy = true
  }

  tags = local.common_tags
}

# AWS CLI로 Terraform 관련 API 호출 조회
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=Username,AttributeValue=terraform-ci-user \
  --start-time 2024-01-15T00:00:00Z \
  --end-time 2024-01-15T23:59:59Z \
  --query 'Events[*].{Time:EventTime,Event:EventName,Resource:Resources[0].ResourceName}'

# .github/branch-protection.yml (GitHub 브랜치 보호 설정)
# main 브랜치에 직접 push 금지
# PR 필수: 최소 2명 승인
# Status check 필수: terraform-plan, security-scan

# terraform.tf
terraform {
  cloud {
    organization = "your-org"
    workspaces {
      name = "production"
    }
  }
}