策略即代码与合规检查
在测试策略中加入防护层，在更改进入生产环境前扫描 Terraform 计划，发现安全和合规违规问题。
策略即代码与合规检查 是 CoddyKit 上的免费 DevOps Bootcamp 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 DevOps Bootcamp 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 DevOps Bootcamp 课程共包含 4 节课。
测试不只是功能测试
单元测试和集成测试可以证明您的基础设施能够正常工作。策略即代码则可以证明它符合要求：不存在公开的 S3 存储桶，只使用经过批准的实例类型，并且包含必需的标签。这些检查会针对每项更改自动运行。
策略检查位于何处
策略检查位于 plan 和 apply 之间。系统会分析计划输出，如果发现违规，就会阻止 apply，就像失败的测试会阻止合并一样。
使用 tfsec 进行静态扫描
tfsec 会扫描您的 HCL，查找已知的错误配置，而且不需要云凭据。它运行速度足够快，可以在每次提交时执行。
tfsec .阅读扫描器输出
扫描器会报告规则 ID、严重程度和存在问题的资源。您可以使用 ID 查找修复指导，或压制已接受的风险。
Result: aws-s3-enable-bucket-encryption
Severity: HIGH
Resource: aws_s3_bucket.data使用 Checkov 进行多框架扫描
Checkov 支持 Terraform 以及其他 IaC 格式，并将发现的问题映射到 CIS 和 SOC2 等合规框架。
checkov -d . --framework terraform扫描计划，而不只是代码
要捕获仅在变量解析后才会出现的问题，请将计划导出为 JSON，然后扫描该构件。
terraform plan -out=tfplan.binary
terraform show -json tfplan.binary > plan.json
checkov -f plan.jsonOpen Policy Agent 与 Conftest
对于组织自定义规则，使用 OPA 和 conftest 可以用 Rego 语言编写策略，并针对计划 JSON 对其进行测试。
conftest test plan.json --policy policy/简单的 Rego 策略
此 Rego 规则会拒绝 ACL 设置为 public-read 的任何 S3 存储桶。如果规则匹配，Conftest 就会使运行失败。
package main
deny[msg] {
r := input.resource_changes[_]
r.type == "aws_s3_bucket"
r.change.after.acl == "public-read"
msg := "S3 buckets must not be public-read"
}压制已接受的风险
有时，某个发现的问题属于已知例外。内联注释可以在保留审计记录的同时跳过特定规则，而不必禁用整个扫描。
resource "aws_s3_bucket" "logs" {
# tfsec:ignore:aws-s3-enable-bucket-encryption
bucket = "public-logs"
}使构建失败
在 CI 中，这些工具在发现违规时会返回非零退出代码，从而使流水线失败，并阻止不合规的 apply 继续执行。
tfsec . --soft-fail=false分层执行检查
成熟的流水线会先运行 fmt 和 validate，然后执行静态策略扫描（tfsec/checkov），接着运行自定义 OPA 规则，最后才运行功能性 Terratest 测试套件。每一层都会捕获不同类别的问题。
快速检查
测试您对策略即代码的掌握情况。
回顾：基础设施的防护栏
您已经为测试添加了合规层：
- 使用 tfsec 和 Checkov 扫描已知的错误配置。
- 使用带有 Rego 的 OPA/conftest 编写组织自定义规则。
- 扫描计划 JSON，以捕获解析后的值所导致的问题。
- 在 CI 中，非零退出代码会阻止不合规的 apply。
用 AI 导师学习 DevOps Bootcamp — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 142
- 课程
- 568
常见问题解答
「策略即代码与合规检查」课时是免费的吗？
是的 — 「策略即代码与合规检查」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 DevOps Bootcamp 课程的其余内容，请升级到 CoddyKit PRO。 DevOps Bootcamp 课程共包含 4 节课。
「策略即代码与合规检查」这节课中我会学到什么？
在测试策略中加入防护层，在更改进入生产环境前扫描 Terraform 计划，发现安全和合规违规问题。 你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 DevOps Bootcamp 需要有经验吗？
无需任何先前经验。CoddyKit 上的 DevOps Bootcamp 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「策略即代码与合规检查」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 DevOps Bootcamp 课中编写并运行代码吗？
能。每节 DevOps Bootcamp 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。