Lab : Signalements sur Scaleway, brique par brique

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « Signalements sur Scaleway ».
# Usage : BUCKET=signalements-pj-xxxx ./verifier-lab.sh   (exige scw et jq)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
echecs=0
BUCKET=${BUCKET:?définissez BUCKET=signalements-pj-<suffixe>}

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

PROJET=$(scw account project list -o json | jq -r '.[] | select(.name == "signalements") | .id')
PN=$(scw vpc private-network list region=fr-par project-id="$PROJET" -o json \
  | jq -r '.[] | select(.name == "pn-signalements") | .id')
export PROJET PN

controle "le projet signalements existe" test -n "$PROJET"
controle "le réseau privé pn-signalements existe dans le projet" test -n "$PN"

for paire in sig-app-1:fr-par-1 sig-app-2:fr-par-2; do
  nom=${paire%%:*}; zone=${paire##*:}
  srv=$(scw instance server list zone="$zone" project-id="$PROJET" -o json \
    | jq -c --arg n "$nom" '[.[] | select(.name == $n)][0] // empty')
  controle "$nom existe en $zone et tourne" \
    bash -c 'jq -e ".state == \"running\"" <<< "$1"' _ "$srv"
  controle "$nom n'a aucune adresse publique" \
    bash -c 'jq -e "(.public_ips // []) | length == 0" <<< "$1"' _ "$srv"
  controle "$nom a une interface sur pn-signalements" \
    bash -c 'jq -e --arg pn "$PN" "[.private_nics[]?.private_network_id] | index(\$pn) != null" <<< "$1"' _ "$srv"
  sg=$(jq -r '.security_group.id // empty' <<< "$srv")
  controle "$nom : groupe de sécurité à état, entrée refusée par défaut" \
    bash -c 'scw instance security-group get "$1" zone="$2" -o json \
      | jq -e "(.security_group // .) | .stateful == true and .inbound_default_policy == \"drop\""' _ "$sg" "$zone"
  controle "$nom : aucune adresse IP flexible orpheline en $zone" \
    bash -c 'scw instance ip list zone="$1" project-id="$2" -o json | jq -e "[.[] | select(.server == null)] | length == 0"' _ "$zone" "$PROJET"
done

db=$(scw rdb instance list region=fr-par project-id="$PROJET" -o json \
  | jq -c '[.[] | select(.name == "sig-db")][0] // empty')
controle "sig-db existe et est prête" \
  bash -c 'jq -e ".status == \"ready\" and (.engine | startswith(\"PostgreSQL\"))" <<< "$1"' _ "$db"
controle "sig-db n'a plus de point d'accès public" \
  bash -c 'jq -e "[.endpoints[] | select(.load_balancer != null)] | length == 0" <<< "$1"' _ "$db"
controle "sig-db a un point d'accès sur pn-signalements" \
  bash -c 'jq -e --arg pn "$PN" "[.endpoints[].private_network.private_network_id] | index(\$pn) != null" <<< "$1"' _ "$db"

gw=$(scw vpc-gw gateway list zone=fr-par-1 project-id="$PROJET" -o json \
  | jq -c '[.[] | select(.name == "gw-signalements")][0] // empty')
controle "gw-signalements a son bastion activé" \
  bash -c 'jq -e ".bastion_enabled == true" <<< "$1"' _ "$gw"
controle "le bastion n'accepte pas tout Internet" \
  bash -c 'jq -e "(.bastion_allowed_ips // []) | length > 0 and (index(\"0.0.0.0/0\") == null)" <<< "$1"' _ "$gw"
controle "gw-signalements annonce la route par défaut sur le réseau privé" \
  bash -c 'jq -e --arg pn "$PN" "[.gateway_networks[] | select(.private_network_id == \$pn and .push_default_route == true)] | length == 1" <<< "$1"' _ "$gw"

lb=$(scw lb lb list zone=fr-par-1 project-id="$PROJET" -o json \
  | jq -r '.[] | select(.name == "lb-signalements") | .id')
controle "lb-signalements existe" test -n "$lb"
be=$(scw lb backend list lb-id="$lb" zone=fr-par-1 -o json 2>/dev/null | jq -c '.[0] // empty')
controle "le backend contient les deux instances" \
  bash -c 'jq -e ".pool | length == 2" <<< "$1"' _ "$be"
controle "la vérification de santé interroge /sante en HTTP" \
  bash -c 'jq -e ".health_check.http_config.uri == \"/sante\"" <<< "$1"' _ "$be"

controle "le bucket refuse la liste anonyme" \
  bash -c 'code=$(curl -s -o /dev/null -w "%{http_code}" "https://$1.s3.fr-par.scw.cloud/"); [ "$code" = 403 ]' _ "$BUCKET"
controle "le versionnement du bucket est activé" \
  bash -c 'aws s3api get-bucket-versioning --bucket "$1" --output json | jq -e ".Status == \"Enabled\""' _ "$BUCKET"

app=$(scw iam application list -o json | jq -r '.[] | select(.name == "sig-deploiement") | .id')
controle "l'application sig-deploiement existe" test -n "$app"
regles=$(for p in $(scw iam policy list application-ids.0="$app" -o json | jq -r '.[].id'); do
  scw iam rule list "$p" -o json; done | jq -s 'add // []')
controle "sig-deploiement a au moins une règle" \
  bash -c 'jq -e "length > 0" <<< "$1"' _ "$regles"
controle "toutes ses règles sont limitées au projet signalements" \
  bash -c 'jq -e --arg p "$PROJET" "all(.project_ids == [\$p] and (.organization_id // null) == null)" <<< "$1"' _ "$regles"
controle "toutes ses clés d'API expirent" \
  bash -c 'scw iam api-key list bearer-id="$1" -o json | jq -e "length > 0 and all(.expires_at != null)"' _ "$app"

controle "un budget existe sur l'organisation" \
  bash -c 'scw billing budget list -o json | jq -e "length > 0"'

echo
echo "$echecs échec(s)"
exit "$echecs"