Terraform 计划审查代理

要解决的核心问题

Terraform 执行 terraform plan 后，破坏性变更（如资源 delete、replace）、成本波动、OPA 策略违规等风险分散在 JSON 输出或 Terraform Cloud 界面的不同字段中。人工审查需要逐行核对变更类型、资源属性和策略规则，容易漏判——例如 aws_instance 因 instance_type 升配导致成本翻倍，或生产环境 database 实例删除未匹配“禁止生产库销毁”的 OPA 策略。

技能如何工作

该技能通过结构化数据解析与多源验证降低审查门槛：

• 解析计划输出：直接读取 terraform plan -json 的结构化结果，提取每个资源的变更类型（create/update/delete/replace）和属性差异，无需人工翻找文本日志或 Cloud 界面；
• 查询 TFC API：通过 Terraform Cloud 的 /runs 端点获取运行详情，补充资源的 workspace、执行环境等上下文，关联变更的影响范围；
• 检测破坏性操作：聚焦资源 delete、force_new 触发的 replace 等高风险动作，标记可能导致服务中断或数据丢失的变更；
• 估算成本影响：调用 Infracost API，基于计划中的资源规格（如 aws_s3_bucket 存储量、aws_lambda_function 执行时长）计算变更成本，与基线对比给出波动幅度；
• 验证 OPA 策略：将资源属性与预定义 OPA 策略（如“生产环境不允许删除 aws_db_instance”）比对，直接报出违反规则的具体条目。

适用边界与注意点

• 依赖 Terraform Cloud 权限：需配置有效的 TFC API 凭证，否则无法访问 /runs 端点；
• Infracost 需提前集成：需在项目中配置 Infracost API 密钥，未配置时成本估算步骤会跳过；
• OPA 策略需预先定义：技能不会生成策略，仅基于已有策略验证，无策略则无法触发合规检查；
• 不替代人工决策：破坏性变更的允许与否需结合业务上下文（如计划内的资源下线），技能仅提供风险提示。