Lab 12: Policy as Code — 배포 전 정책 검사

terraform {
  required_version = ">= 1.0.0"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~> 3.0"
    }
  }
}

provider "aws" {
  region = "ap-northeast-2"
}

# 버킷 이름 중복 방지를 위한 무작위 접미사
resource "random_string" "suffix" {
  length  = 8
  special = false
  upper   = false
}

# 정책 위반을 재현하기 위해 일부러 미흡한 상태로 작성한 S3 버킷
# Public Access Block 없음 + Environment/Owner 태그 누락 → conftest 정책 검사에서 deny
resource "aws_s3_bucket" "app" {
  bucket = "lab12-policy-as-code-app-${random_string.suffix.result}"

  tags = {
    Name = "lab12-app"
    # Environment, Owner 태그 없음 → policy/required_tags.rego 위반
  }
}

# aws_s3_bucket_public_access_block 리소스가 없음 → policy/s3_public_access.rego 위반
# 실습 단계에서 이 리소스를 추가하고 태그를 보완하면 정책 검사를 통과한다.

package main

# plan JSON에서 생성/변경될 리소스 목록
resources := input.resource_changes

# 생성되는 S3 버킷 목록
s3_buckets[r] {
    r := resources[_]
    r.type == "aws_s3_bucket"
    r.change.actions[_] == "create"
}

# 생성되는 public access block 목록
public_access_blocks[r] {
    r := resources[_]
    r.type == "aws_s3_bucket_public_access_block"
    r.change.actions[_] == "create"
}

# S3 버킷이 있는데 public access block이 하나도 없으면 deny
deny[msg] {
    count(s3_buckets) > 0
    count(public_access_blocks) == 0
    msg := "S3 버킷에는 aws_s3_bucket_public_access_block이 필수입니다"
}

# public access block의 4개 설정이 모두 true인지 검사
deny[msg] {
    r := public_access_blocks[_]
    settings := ["block_public_acls", "block_public_policy", "ignore_public_acls", "restrict_public_buckets"]
    s := settings[_]
    r.change.after[s] != true
    msg := sprintf("%s: %s 설정이 true여야 합니다", [r.address, s])
}

package main

# 태그를 지원하는 리소스 타입 (실무에서는 목록을 확장)
taggable_types := {"aws_s3_bucket", "aws_instance", "aws_vpc", "aws_subnet"}

required_tags := {"Environment", "Owner"}

deny[msg] {
    r := input.resource_changes[_]
    taggable_types[r.type]
    r.change.actions[_] == "create"

    tags := object.get(r.change.after, "tags", {})
    missing := required_tags - {key | tags[key]}
    count(missing) > 0

    msg := sprintf("%s: 필수 태그 누락 — %v", [r.address, missing])
}

# exit code로 확인
conftest test tfplan.json --policy policy/ && echo "정책 통과 ✅"

      - name: Terraform Plan (JSON)
        run: |
          terraform plan -out=tfplan
          terraform show -json tfplan > tfplan.json

      - name: Setup Conftest
        run: |
          CONFTEST_VERSION=0.56.0
          wget -q "https://github.com/open-policy-agent/conftest/releases/download/v${CONFTEST_VERSION}/conftest_${CONFTEST_VERSION}_Linux_x86_64.tar.gz"
          tar xzf conftest_${CONFTEST_VERSION}_Linux_x86_64.tar.gz
          sudo mv conftest /usr/local/bin/

      - name: Policy Check (OPA/Conftest)
        run: conftest test tfplan.json --policy policy/
        # deny 발생 시 exit 1 → 이후 apply 단계가 실행되지 않음

terraform destroy -auto-approve
rm -f tfplan tfplan.json