💡
As variáveis de ambiente $PLANFILE e $SHOWFILE apenas definem os caminhos de arquivo. Você deve definir antes.
```bash
terraform init -upgrade
terraform plan -input=false -refresh -out $PLANFILE
terraform show -json $PLANFILE > $SHOWFILE
```
Feito! O primeiro subsídio está disponível. O arquivo `$SHOWFILE` será bastante útil.
# Conftest
O comando Conftest segue no formato abaixo:
```bash
conftest test $SHOWFILE --policy policy/ --all-namespaces
```
Assim, você pode fazer testes localmente se precisar. Se houver dúvidas, você pode consultar por `conftest test --help` ou a própria documentação oficial.
No Atlantis, segue no modelo similar:
```yaml
policy_check:
steps:
# ...
- policy_check:
extra_args: ["--policy /home/atlantis/policy", "--all-namespaces"]
```
Confira mais sobre na [documentação oficial do Atlantis](https://www.runatlantis.io/docs/policy-checking.html).
## Policies
Mas, qual *policy* usar?
O Conftest utiliza OPA com *policies* escritas em REGO (pronuncia-se *ray-go*).
Atualmente, existem bibliotecas que empoderam a confecção de *policies*. A síntaxe pode ser bastante distinta. Então, dependendo do grau de profundidade, alguns recursos auxiliares e/ou complementares podem contribuir no seu desenvolvimento.
Um outro ponto muito importante sobre segurança é: o `terraform plan` não está imune a algumas ações mesmo com a presença das *policies*. No Atlantis, as *policies* acontecem posteriormente ao plano de mudanças. Então, pode ser necessário controlar o plano de mudança ou personalizar a *step* do plano de mudança.
### Blocklist de providers
Útil para especificar *providers* Terraform não permitidos.
```rego
package main
blocked_providers = {"registry.terraform.io/hashicorp/external"}
caught_providers[provider] = all {
some provider
blocked_providers[provider]
all := [module |
module := input.configuration.provider_config[_]
module.full_name == provider
]
}
deny[msg] {
num_resources := caught_providers[provider]
num_resources > 0
msg := sprintf("Provider %s detected in Terraform plan file.", [provider])
}
```
### Allowlist de providers
Pode ser uma alternativa melhor. Assim, apenas *providers* Terraform autorizados passam. Evitando o risco de *providers* desconhecidos.
```rego
package main
allowed_providers = {"registry.terraform.io/hashicorp/aws"}
deny[msg] {
filtered := [f | f = input.configuration.provider_config[_].full_name; not allowed_providers[f]]
count(filtered) > 0
msg := sprintf("Got %d unauthorized provider(s) like %v.", [count(filtered), filtered[0]])
}
```
### Entre outras infinidades de policies
Acima, são exemplos reais. Você também pode incluir policies para `null_resources`.
É importante entender a diferença entre policies que conduzem adoção de boas práticas e aquelas que tratam questões pontuais.
Você pode utilizar algumas bibliotecas/frameworks de *policies* prontas. A Regula é um exemplo. Consulte a [documentação sobre Regula e Conftest](https://regula.dev/integrations/conftest.html) para saber mais. Também há opção para integrar com GitHub Actions diretamente.
## Policy para HCL
Como visto anteriormente, pode ser muito útil verificar o manifesto HCL do Terraform. Aqui vai um exemplo simples:
```rego
package main
deny[msg] {
proto := input.data.external[name]
count(proto) > 0
msg = sprintf("External '%v' detected in HCL.", [name])
}
```
Detecção de HCL para fontes de módulos antes do plano? É possível:
```rego
package main
allowed_sources = {
"git@github.com:business/business.git//modules/"
}
deny[msg] {
module := input.module[name].source
finding := [trusted | trusted := allowed_sources[_]; not startswith(module, trusted)]
count(finding) > 0
msg = sprintf("Unauthorized module.%s source.", [name])
}
```
O conceito de *allowlist* aplica-se perfeitamente aqui.
O plano de mudança está sujeito a execução de comandos arbitrários. Portanto, é interessante a ideia de executar a verificação antes do plano de mudança.
E como funcionaria o comando para Conftest nessa estratégia?
```bash
conftest test *.tf --policy policy/ --all-namespaces
```