Terraform IaC 安全性驗證與合規性測試

Terraform 作為 IaC 的主流工具，其程式碼的安全性與合規性至關重要。實務上，我們可以利用 Sentinel 政策進行合規性測試，確保 Terraform 工件符合預期。此外，Terraform 模組測試框架提供更便捷的模組測試方式，搭配 TFC 執行 Sentinel 和 OPA 政策，強化 IaC 的安全性與合規性。除了 Sentinel，Checkov、tflint 等工具也能有效地驗證 Terraform 程式碼，找出潛在的安全漏洞和組態錯誤。Terrascan、tfsec 和 Snyk 則更專注於安全性稽核，提供更全面的安全檢查和修復建議，幫助開發團隊建構更安全的雲端基礎設施。

使用Sentinel進行Terraform的合規性測試

在進行Terraform測試時，Sentinel政策是用來執行合規性測試的重要工具。測試Sentinel政策能夠確保這些政策正確地應用於Terraform工件，並根據工件中的資料實施所需的控制。

Sentinel政策測試的重要性

確保政策正確實施：透過測試Sentinel政策，可以驗證它們是否按照預期工作，從而對Terraform工件實施正確的控制。
提升合規性：合規性測試有助於確保Terraform工件符合組織的安全和合規要求。

Terraform模組測試框架

從Terraform v1.6.0開始，HashiCorp推出了新的Terraform模組測試框架。這個框架允許開發者對Terraform模組進行更有效的測試。


### 使用Terraform模組測試框架的步驟：

1.  編寫測試程式碼：使用Terraform模組測試框架提供的功能，編寫針對模組的測試程式碼。
2.  執行測試：執行測試程式碼，驗證模組的功能是否符合預期。
3.  分析結果：根據測試結果，調整模組或測試程式碼，以確保模組的正確性和穩定性。

Terraform模組測試框架範例程式碼

# 假設我們有一個名為 "example_module" 的 Terraform 模組
module "example_module" {
  source = "./example_module"

  # 輸入變數
  input_variable = "example_value"
}

# 使用 Terraform 測試框架進行測試
terraform {
  required_version = ">= 1.6.0"
}

# 測試範例
test {
  module_call "example_module" {
    # 驗證模組的輸出是否符合預期
    assert {
      condition     = module.example_module.output_value == "expected_output"
      error_message = "Output value is not as expected"
    }
  }
}

內容解密：

模組呼叫：在測試程式碼中，我們首先呼叫了要測試的Terraform模組 example_module。
輸入變數：為模組提供了必要的輸入變數 input_variable。
斷言驗證：使用 assert 區塊驗證模組的輸出 output_value 是否等於預期的值 expected_output。

在TFC中執行政策

除了使用本地Sentinel CLI進行政策測試外，還可以在Terraform Cloud（TFC）中執行政策。TFC支援Sentinel和OPA政策，用於評估Terraform工件。

在TFC中組態政策的步驟：

建立政策：在TFC組織級別建立政策，並將其與政策集關聯。
組態政策集：將政策集應用於特定的專案或工作區。
載入政策：可以從遠端程式碼倉函式庫載入政策，就像載入Terraform IaC一樣。

其他Terraform驗證工具

除了Sentinel外，還有其他工具可以用於驗證Terraform IaC。例如：

Checkov：一個用於評估Terraform、AWS CloudFormation等IaC的工具。它可以檢查IaC中是否存在安全漏洞或組態錯誤。
tflint：一個根據Golang的工具，用於檢查Terraform程式碼中的錯誤和最佳實踐問題。

使用Checkov進行Terraform驗證的範例

# 使用Checkov掃描當前目錄下的Terraform程式碼
$ checkov -d . -o json > checkov-scan.json

# 檢視掃描結果
$ cat checkov-scan.json

使用tflint進行Terraform驗證的範例

# 使用tflint檢查Terraform程式碼
$ tflint

# 輸出檢查結果
2 issue(s) found:
Warning: terraform "required_version" attribute is required (terraform_required_version)
  on line 0:
  (source code not available)
Reference: https://github.com/terraform-linters/tflint-ruleset-terraform/blob/v0.4.0/docs/rules/terraform_required_version.md

Warning: Missing version constraint for provider "google" in `required_providers` (terraform_required_providers)

Checkov 結果分析：

檢查結果：Checkov掃描發現了多個問題，包括未啟用Cloud Storage桶的公開存取防護、未啟用儲存桶日誌記錄等。
問題詳情：透過檢視 checkov-scan.json 檔案，可以獲得每個問題的詳細資訊，包括檢查ID、檢查名稱、檢查結果等。

tflint 結果分析：

檢查結果：tflint發現了兩個問題，包括缺少 required_version 屬性和缺少對提供者 “google” 的版本約束。
問題詳情：透過檢視tflint的輸出，可以獲得每個問題的詳細資訊，包括問題描述、參考檔案等。

Terraform IaC 驗證工具詳解與實務應用

在現代化的 DevOps 與雲端基礎設施管理中，Terraform 作為基礎設施即程式碼（Infrastructure as Code, IaC）的首選工具，其程式碼品質與安全性驗證變得越來越重要。本文將探討多種 Terraform IaC 驗證工具的技術細節、實際應用案例及最佳實踐，幫助開發團隊提升基礎設施程式碼的安全性與可靠性。

TFLint：Terraform 程式碼靜態分析專家

TFLint 是一款專為 Terraform 程式碼設計的靜態分析工具，能夠檢測出潛在的錯誤組態與最佳實踐違規。其主要特點包括：

多維度檢查能力
- 檢測未宣告的 provider 版本
- 驗證資源屬性組態
- 檢查棄用的語法與引數
高度可擴充套件性
- 支援自定義規則開發
- 可整合多種第三方規則集

實務應用案例 當執行 tflint 命令時，可能會遇到以下錯誤訊息：

on provider.tf line 15:
15: provider "google" {}
Reference: https://github.com/terraform-linters/tflint-ruleset-terraform/...

這類別錯誤通常指向 required_providers 宣告缺失，需要在 provider.tf 中新增必要的版本約束：

terraform {
  required_version = ">= 1.0.0"
  required_providers {
    google = {
      source  = "hashicorp/google"
      version = ">= 4.0.0"
    }
  }
}

程式碼解析

# 正確的 provider 設定範例
terraform {
   required_version = ">= 1.0.0"
   required_providers {
     google = {
       source  = "hashicorp/google"
       version = ">= 4.0.0"
     }
   }
 }

 provider "google" {
   project = var.project_id
   region  = var.region
 }

內容解密：

required_version 指定了 Terraform 的最低版本需求，確保環境的一致性。
required_providers 區塊定義了所需的 provider 及其版本範圍。
provider "google" 區塊則是具體的 Google Cloud 提供者設定。

Terrascan：多雲環境的安全守護

Terrascan 是由 Tenable 開發的 IaC 安全掃描工具，支援 Terraform、Kubernetes 等多種基礎設施組態語言。其主要功能特點包括：

多維度安全檢查
- 身份與存取管理（IAM）組態檢查
- 資料加密設定稽核
- 網路安全群組組態審查
跨雲支援能力
- AWS 安全最佳實踐檢查
- GCP 資源組態稽核
- Azure 安全基線檢查

詳細的掃描報告

{
  "results": {
    "violations": [
      {
        "rule_name": "uniformBucketEnabled",
        "severity": "MEDIUM",
        "resource_name": "test-bucket",
        "file": "main.tf",
        "line": 20
      }
    ]
  }
}

實際應用案例分析

當 Terrascan 發現 uniformBucketEnabled 違規時，建議啟用統一的儲存桶級別存取控制：

resource "google_storage_bucket" "test-bucket" {
 bucket = "test-bucket"
 uniform_bucket_level_access = true
}

程式碼解析與最佳實踐

resource "google_storage_bucket" "secure_bucket" {
 # 儲存桶基本組態
 bucket = "secure-bucket-example"

 # 啟用統一的存取控制
 uniform_bucket_level_access = true

 # 設定版本控制
 versioning {
   enabled = true
 }

 # 設定加密設定
 encryption {
   default_kms_key_name = var.kms_key_name
 }
}

內容解密：

uniform_bucket_level_access = true 確保儲存桶使用統一的 IAM 許可權管理。
versioning 設定啟用物件版本控制，提供更好的資料保護。
encryption 設定使用客戶管理的加密金鑰（CMEK）增強資料安全性。

tfsec：專注於安全性的 Terraform 稽核工具

tfsec 是由 Aqua Security 開源的安全掃描專案，專門針對 Terraform 組態進行安全性稽核。其主要特點包括：

全面的安全檢查
- 儲存服務加密檢查
- 網路組態安全稽核
- IAM 許可權最佳實踐檢查

詳細的報告與修復建議

{
  "results": [
    {
      "rule_id": "AVD-GCP-0066",
      "severity": "LOW",
      "description": "Storage bucket encryption does not use a customer-managed key.",
      "resolution": "Encrypt Cloud Storage buckets using customer-managed keys."
    }
  ]
}

最佳實踐案例：儲存桶安全組態

resource "google_storage_bucket" "secure_bucket" {
 bucket = "secure-bucket"

 # 使用客戶管理的加密金鑰
 encryption {
   default_kms_key_name = var.kms_key_name
 }

 # 啟用儲存桶日誌記錄
 logging {
   log_bucket = "bucket-logs"
   log_object_prefix = "logs/"
 }

 # 啟用物件版本控制
 versioning {
   enabled = true
 }
}

程式碼解析與安全性考量：

使用客戶管理的加密金鑰（CMEK）增強資料加密安全性。
設定日誌記錄以追蹤儲存桶存取行為。
物件版本控制提供更好的資料還原能力。

Snyk：開發者友好的 IaC 安全平台

Snyk 提供了一套完整的開發者安全解決方案，支援 Terraform IaC 的安全測試與修復。其主要特點包括：

易用的 CLI 與整合能力
- 簡單的命令列介面操作
- 無縫整合 CI/CD 管線

詳盡的安全檢查報告

Issues:
Low Severity Issues: 3
[Low] Object versioning is not enabled
Path: resource > google_storage_bucket[test-bucket] > versioning
File: main.tf
Resolve: Set `versioning.enabled` attribute to `true`

最佳實踐與修復建議：

為儲存桶啟用物件版本控制以保護資料完整性。
設定日誌記錄以監控儲存桶使用情況。
使用客戶管理的金鑰進行資料加密。

綜合比較與最佳實踐建議

工具名稱	主要功能	特色優勢
TFLint	程式碼靜態分析	提供語法檢查與最佳實踐建議
Terrascan	多雲安全掃描	跨雲環境支援與詳細違規報告
tfsec	安全組態稽核	重點關注安全性問題與修復建議
Snyk	全面的 IaC 安全測試	易用的介面與 CI/CD 整合能力

在實際應用中，建議採用多工具組合的方式進行 Terraform IaC 的全面驗證：

使用 TFLint 確保程式碼基本品質。
利用 Terrascan 和 tfsec 進行安全性檢查。
結合 Snyk 提供全面的安全測試與修復建議。

透過這種綜合性的驗證策略，可以有效提升 Terraform 程式碼的安全性、可靠性和可維護性，為現代化的基礎設施管理提供堅實的保障。

使用Snyk進行Terraform IaC的安全性驗證

隨著雲端基礎設施即程式碼（IaC）的普及，確保Terraform組態的安全性和合規性變得越來越重要。Snyk作為一個領先的安全性工具，提供了一種有效的方式來掃描和驗證Terraform IaC組態。本章節將探討如何使用Snyk CLI和Snyk SaaS平台來進行Terraform IaC的安全性驗證。

Snyk CLI的使用

Snyk CLI是一個強大的命令列工具，可以用來掃描和分析Terraform組態檔案。要使用Snyk CLI，首先需要安裝並組態好Snyk環境。

安裝Snyk CLI

npm install -g snyk

組態Snyk CLI

在使用Snyk CLI之前，需要使用您的Snyk API令牌進行身份驗證：

snyk auth <YOUR_SNYK_API_TOKEN>

掃描Terraform組態檔案

使用以下命令掃描Terraform組態檔案：

snyk iac test main.tf

此命令將對main.tf檔案進行靜態分析，並報告任何潛在的安全問題。

Snyk掃描結果分析

Snyk CLI的掃描結果將顯示在終端中，包括發現的問題、嚴重程度以及修復建議。例如：

File: main.tf
Resolve: Use encryption keys from self-managed key management service and configure the `encryption` block accordingly.
Medium Severity Issues: 1
[Medium] Uniform bucket-level access disabled
Info: Cloud Storage uniform bucket-level access is not enabled. Both bucket ACLs and IAM permissions can be used to grant permissions
Rule: https://security.snyk.io/rules/cloud/SNYK-CC-TF-240
Path: resource > google_storage_bucket[test-bucket] > uniform_bucket_level_access
File: main.tf
Resolve: Set `uniform_bucket_level_access` attribute to `true`
-------------------------------------------------------
Test Summary
Organization: <ORG_NAME>
Project name: <ORG_NAME>/pac-book-tf-gcp
✔ Files without issues: 2
✗ Files with issues: 1
Ignored issues: 0
Total issues: 4 [ 0 critical, 0 high, 1 medium, 3 low ]
-------------------------------------------------------

內容解密：

此掃描結果顯示了一個中等嚴重度的問題，即uniform_bucket_level_access未被啟用。這意味著Cloud Storage的存取控制未統一，可能會導致許可權管理混亂。建議將uniform_bucket_level_access屬性設定為true以啟用統一的存取控制。

與Terraform Cloud（TFC）的整合

Snyk不僅可以透過CLI進行本地掃描，還可以與Terraform Cloud（TFC）整合，在雲端進行IaC的安全性驗證。這種整合使得在CI/CD流程中自動執行安全性掃描成為可能。

TFC與Snyk整合流程

  graph LR;
    D[D]
    A[開發者提交Terraform程式碼] --> B[TFC觸發計劃執行];
    B --> C[Snyk掃描Terraform IaC];
    C --> D{發現安全問題?};
    D -->|是| E[顯示詳細報告];
    D -->|否| F[繼續執行計劃];
    E --> G[修復安全問題];
    G --> B;

圖表翻譯： 此圖示展示了TFC與Snyk的整合流程。當開發者提交Terraform程式碼後，TFC會觸發計劃執行，並呼叫Snyk進行安全性掃描。如果發現安全問題，Snyk會顯示詳細報告，開發者需修復這些問題後重新提交程式碼。

Snyk在自動化流程中的優勢

即時反饋：透過與TFC的整合，開發者可以在提交程式碼後立即獲得安全性反饋。
自動化：Snyk的掃描可以自動化執行，減少了手動檢查的工作量。
全面性：Snyk提供了全面的安全性檢查，涵蓋了多個雲端服務提供商的資源。

隨著雲原生技術的快速發展，IaC的安全性驗證將變得越來越重要。未來，我們可能會看到更多根據AI和機器學習的安全性分析工具，它們將能夠更準確地預測和防止潛在的安全威脅。同時，與DevOps流程的進一步整合，也將使得安全性驗證成為CI/CD流程中不可或缺的一部分。

總之，使用Snyk進行Terraform IaC的安全性驗證，只是一個開始。隨著技術的不斷進步，我們需要持續關注並採用新的工具和方法，以確保我們的雲端基礎設施既高效又安全。

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。