Terraform Cloud Run 检查器

要解决的问题

Terraform Cloud（TFC）把 Plan 和 Apply 都放在远端执行，本地只能看到一条执行状态的日志。等到「部署失败」或者「策略被拦截」的告警出现时，团队往往要在网页上反复翻页、切 tab，才能找到是哪一次 plan 改了什么、哪一个模块的版本漂移触发了差异、哪条 Sentinel 策略拦截了本次 apply。缺少一个统一的「从 API 拉取并结构化审查」的入口，变更审计成本很高。

技能如何工作

这个技能直接对接 Terraform Cloud API，围绕三类产物展开分析：

• Plan 输出：把每次 Run 的 plan 输出拉取下来，提取资源差异，并保留模块层级的改动，而不是只给顶层资源的扁平视图。
• Apply 日志：读取 apply 阶段的执行日志，定位失败步骤和错误上下文，省去在控制台逐条复制日志的麻烦。
• State 变更：比对 state file 中的实际变化，包括新增、修改、销毁的资源，以及对应的模块来源。

在差异分析的基础上，技能还会额外检查两类容易被忽略的信号：

• Provider 版本约束：指出 run 中实际使用的 provider 版本与配置约束之间的漂移，避免「本机写通过、云端跑不通」的隐性问题。
• Sentinel 策略结果：把策略评估结果一并纳入输出，让合规拦截的原因可以直接在一次查询里看到，而不必再去翻策略控制台。

适用边界

• 需要能够访问 Terraform Cloud API 的运行环境，凭据和权限由调用方提供，技能本身不负责鉴权流程。
• 仅覆盖 TFC 托管的 Run 生命周期数据，不涉及本地 terraform plan 或自建 Terraform Enterprise 的差异化场景。
• 模块级 diff 依赖 TFC 返回的结构化数据，上游 API 变更可能影响输出的完整度。
• Sentinel 策略的编写与维护不在技能职责内，技能只负责读取和展示评估结果。