정책 기반 통제: 허용 리전, 태그 필수화, 리소스 제한

# allowed-regions.sentinel
# 허용된 리전에만 배포 가능

import "tfplan/v2" as tfplan

allowed_regions = ["ap-northeast-2", "ap-northeast-1"]

# 모든 AWS provider 설정에서 리전 확인
all_aws_providers = filter tfplan.providers as _, provider {
    provider.name is "registry.terraform.io/hashicorp/aws"
}

region_allowed = rule {
    all all_aws_providers as _, provider {
        provider.config.region.constant_value in allowed_regions
    }
}

main = rule {
    region_allowed
}

# required-tags.sentinel
# 필수 태그 검증

import "tfplan/v2" as tfplan

required_tags = ["Environment", "Owner", "CostCenter", "Project"]

# 태그를 가질 수 있는 리소스 타입 목록
taggable_resources = [
    "aws_instance",
    "aws_s3_bucket",
    "aws_rds_instance",
    "aws_vpc",
]

# 모든 해당 리소스에 필수 태그가 있는지 확인
all_resources_tagged = rule {
    all tfplan.resource_changes as _, resource {
        resource.type not in taggable_resources or
        all required_tags as tag {
            tag in keys(resource.change.after.tags)
        }
    }
}

main = rule {
    all_resources_tagged
}

# OPA 설치
brew install opa

# conftest 설치 (Terraform plan JSON을 OPA로 검증)
brew install conftest

# policy/allowed_regions.rego
package terraform.aws

import future.keywords

deny contains msg if {
    some resource in input.resource_changes
    resource.type == "aws_instance"
    region := resource.change.after.availability_zone
    not startswith(region, "ap-northeast-2")
    msg := sprintf("EC2 인스턴스는 ap-northeast-2 리전에만 생성할 수 있습니다. 현재 리전: %v", [region])
}

# Terraform plan을 JSON으로 출력
terraform plan -out=tfplan.binary
terraform show -json tfplan.binary > tfplan.json

# conftest로 정책 검증
conftest test tfplan.json --policy policy/

# 특정 리전 외 리소스 생성 방지 (terraform.tfvars 방식)
variable "allowed_regions" {
  type    = list(string)
  default = ["ap-northeast-2"]
}

# provider 설정에서 리전 검증
provider "aws" {
  region = var.aws_region

  # lifecycle 블록으로 허용 리전 외 배포 방지
  default_tags {
    tags = local.common_tags
  }
}

locals {
  # 허용되지 않은 리전이면 오류 발생
  region_check = contains(var.allowed_regions, var.aws_region) ? var.aws_region : error(
    "허용되지 않은 리전입니다: ${var.aws_region}. 허용 리전: ${join(", ", var.allowed_regions)}"
  )
}

# locals.tf - 공통 태그 중앙화
locals {
  required_tags = {
    Environment = var.environment      # dev, stage, prod
    Owner       = var.team_name        # 담당 팀
    CostCenter  = var.cost_center      # 비용 센터 코드
    Project     = var.project_name     # 프로젝트명
    ManagedBy   = "terraform"          # 필수: 관리 주체
    Repo        = var.repo_url         # 소스 저장소
  }
}

# 모든 리소스에 common_tags 적용
resource "aws_instance" "web" {
  ami           = data.aws_ami.amazon_linux.id
  instance_type = var.instance_type

  tags = merge(local.required_tags, {
    Name = "${var.project_name}-web-${var.environment}"
    Role = "web-server"
  })
}

# variables.tf
variable "instance_type" {
  type        = string
  description = "EC2 인스턴스 타입"

  validation {
    condition = contains([
      "t3.micro", "t3.small", "t3.medium",
      "t3.large", "m5.large", "m5.xlarge"
    ], var.instance_type)
    error_message = "허용된 인스턴스 타입: t3.micro, t3.small, t3.medium, t3.large, m5.large, m5.xlarge"
  }
}

# 공개 S3 버킷 방지
resource "aws_s3_bucket_public_access_block" "example" {
  bucket = aws_s3_bucket.example.id

  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

# S3 버킷 ACL을 public으로 설정하는 코드 (나쁜 예)
# acl = "public-read"  ← 이런 코드는 정책으로 차단

# policy/no_public_resources.rego
package terraform.aws

deny contains msg if {
    some resource in input.resource_changes
    resource.type == "aws_s3_bucket_acl"
    resource.change.after.acl in ["public-read", "public-read-write", "authenticated-read"]
    msg := sprintf("S3 버킷 '%v'에 공개 ACL 설정이 불가합니다.", [resource.address])
}

deny contains msg if {
    some resource in input.resource_changes
    resource.type == "aws_security_group_rule"
    resource.change.after.cidr_blocks[_] == "0.0.0.0/0"
    resource.change.after.type == "ingress"
    resource.change.after.from_port == 22
    msg := sprintf("보안 그룹 '%v': SSH(22) 포트를 전체 공개(0.0.0.0/0)할 수 없습니다.", [resource.address])
}