Lab 17: 드리프트 탐지 자동화

terraform {
  required_version = ">= 1.0.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~> 3.0"
    }
  }
}

provider "aws" {
  region = "ap-northeast-2"
}

# 버킷 이름 중복 방지를 위한 무작위 접미사
resource "random_string" "suffix" {
  length  = 8
  special = false
  upper   = false
}

# 드리프트 탐지 대상 S3 버킷
resource "aws_s3_bucket" "app" {
  bucket = "lab17-drift-detection-app-${random_string.suffix.result}"

  tags = {
    Name        = "lab17-app"
    Environment = "dev"
    ManagedBy   = "terraform"
  }
}

output "bucket_name" {
  description = "드리프트 탐지 대상 S3 버킷 이름"
  value       = aws_s3_bucket.app.id
}

output "bucket_arn" {
  description = "드리프트 탐지 대상 S3 버킷 ARN"
  value       = aws_s3_bucket.app.arn
}

#!/usr/bin/env bash
# 드리프트 탐지: terraform plan의 detailed exit code 활용
set -uo pipefail

echo "[$(date '+%Y-%m-%d %H:%M:%S')] 드리프트 검사 시작"

terraform plan -detailed-exitcode -no-color -out=drift.tfplan > plan-output.txt 2>&1
EXIT_CODE=$?

case $EXIT_CODE in
  0)
    echo "✅ 드리프트 없음 — 코드와 실제 인프라 일치"
    ;;
  1)
    echo "❌ terraform plan 실행 에러"
    cat plan-output.txt
    exit 1
    ;;
  2)
    echo "⚠️ 드리프트 감지! 변경 내역:"
    grep -E '^\s*[~+-]' plan-output.txt | head -30
    exit 2
    ;;
esac

name: Drift Detection

on:
  schedule:
    - cron: "0 0 * * *" # 매일 00:00 UTC (KST 09:00)
  workflow_dispatch: # 수동 실행도 허용

env:
  TF_VERSION: "1.9.0"
  AWS_REGION: ${{ secrets.AWS_REGION }}

permissions:
  id-token: write # OIDC 토큰 발급에 필요
  contents: read
  issues: write # Issue 생성 권한

jobs:
  drift-check:
    name: Detect Drift
    runs-on: ubuntu-latest
    defaults:
      run:
        working-directory: lab17-drift-detection

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Configure AWS credentials (OIDC)
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_ARN }}
          aws-region: ${{ env.AWS_REGION }}

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: ${{ env.TF_VERSION }}
          terraform_wrapper: false # exit code를 직접 받기 위해 wrapper 비활성화

      - name: Terraform Init
        run: terraform init

      - name: Detect Drift
        id: plan
        run: |
          set +e
          terraform plan -detailed-exitcode -no-color > plan-output.txt 2>&1
          EXIT_CODE=$?
          set -e
          echo "exitcode=$EXIT_CODE" >> "$GITHUB_OUTPUT"

          if [ "$EXIT_CODE" -eq 1 ]; then
            cat plan-output.txt
            exit 1
          fi

      - name: Create Issue on Drift
        if: steps.plan.outputs.exitcode == '2'
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const planOutput = fs.readFileSync(
              'lab17-drift-detection/plan-output.txt', 'utf8'
            );
            // plan 출력이 길면 뒷부분만 첨부
            const trimmed = planOutput.length > 60000
              ? planOutput.slice(-60000) : planOutput;

            await github.rest.issues.create({
              owner: context.repo.owner,
              repo: context.repo.repo,
              title: `🚨 드리프트 감지: ${new Date().toISOString().slice(0, 10)}`,
              labels: ['drift', 'infrastructure'],
              body: [
                '## 인프라 드리프트가 감지되었습니다',
                '',
                '`terraform plan -detailed-exitcode`가 exit 2를 반환했습니다.',
                '',
                '### Plan 출력',
                '```',
                trimmed,
                '```',
                '',
                '### 대응 절차',
                '- [ ] 변경 주체·의도 확인 (긴급 패치? 무단 변경?)',
                '- [ ] 의도된 변경 → `terraform apply -refresh-only` + 코드 수정',
                '- [ ] 무단 변경 → `terraform apply`로 코드 기준 원복',
              ].join('\n'),
            });

# gh CLI로 확인
gh run list --workflow=drift-detection.yml --limit 3
gh issue list --label drift

terraform destroy -auto-approve
rm -f drift.tfplan plan-output.txt

# 생성된 테스트 Issue도 닫기
gh issue list --label drift --json number --jq '.[].number' | xargs -I{} gh issue close {}