Terrascan 策略扫描器

问题：策略违规在「配置评审」阶段最容易拦截

基础设施即代码（IaC）把服务器、网络、容器的配置收敛进版本库，但也带来一个新问题：违反策略的代码会像普通代码一样被合并。一次过于宽松的安全组、一个未加密的存储桶、一份缺少约束的 Kubernetes 清单，往往要到环境部署之后才被发现，修复成本成倍上升。Terrascan 的思路是把合规检查前移到代码评审阶段：在配置进入流水线之前先跑一遍策略规则，把违规项挡在合并之前。

这个技能如何工作

Terrascan 策略扫描器 属于 it-ops-security 分类，职责是把 Terrascan 的策略扫描能力封装成可在 Agent 工作流中使用的技能：

• 定位扫描对象：指向待检查的 IaC 配置文件或目录（Terraform、Kubernetes 清单等常见格式）；
• 执行策略规则：调用 Terrascan 对配置做静态分析，比对策略库中的规则；
• 输出违规结果：把命中的规则、严重级别和涉及的具体配置位置整理成可读结论，便于修复。

典型用法是把扫描接入变更流程：先扫描、再修复、后合并，避免带病上线。

适用边界与注意点

• 当前技能资料中没有提取到经过验证的安装与使用说明，运行前需要自行阅读上游仓库确认调用方式；
• 敏感工作流（生产环境、合规审计）接入之前，应先审查来源项目；
• 策略库需要跟随组织规范持续维护，默认规则不一定覆盖你的合规要求。