Lab : Signalements en production sur Scaleway

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « Signalements en production sur Scaleway ».
# Usage : ./verifier-lab.sh   (exige scw et jq)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

projet() {   # projet nom : affiche l'identifiant du projet de ce nom exact
  scw account project list -o json | jq -r --arg n "$1" '.[] | select(.name == $n) | .id'
}

PREPROD=$(projet signalements-preprod)
PROD=$(projet signalements-prod)
controle "le projet signalements-preprod existe" test -n "$PREPROD"
controle "le projet signalements-prod existe" test -n "$PROD"

db=$(scw rdb instance list project-id="$PROD" region=fr-par -o json \
  | jq -c '[.[] | select(.name == "sig-db")][0] // empty')
controle "sig-db existe dans le projet de production" test -n "$db"
controle "sig-db : sauvegardes automatiques actives, conservées 14 jours ou plus" \
  bash -c 'jq -e ".backup_schedule.disabled == false and .backup_schedule.retention >= 14" <<< "$1"' _ "$db"
controle "sig-db : au moins un réplica en lecture" \
  bash -c 'jq -e "(.read_replicas // []) | length >= 1" <<< "$1"' _ "$db"
controle "sig-db : chiffrement au repos activé" \
  bash -c 'jq -e ".encryption.enabled == true" <<< "$1"' _ "$db"
controle "sig-db : aucun point d'accès public" \
  bash -c 'jq -e "[.endpoints[] | select(.load_balancer != null)] | length == 0" <<< "$1"' _ "$db"

secret=$(scw secret secret list project-id="$PROD" path=/signalements/prod name=db region=fr-par -o json \
  | jq -c '.[0] // empty')
controle "le secret /signalements/prod/db existe" test -n "$secret"
controle "le secret est de type database_credentials, protégé, avec au moins une version" \
  bash -c 'jq -e ".type == \"database_credentials\" and .protected == true and .version_count >= 1" <<< "$1"' _ "$secret"
controle "le secret est chiffré avec une clé de Key Manager" \
  bash -c 'jq -e ".key_id != null and .key_id != \"\"" <<< "$1"' _ "$secret"

controle "un espace de noms de registre privé existe en production" \
  bash -c 'scw registry namespace list project-id="$1" region=fr-par -o json | jq -e "length > 0 and all(.is_public == false)"' _ "$PROD"

controle "la préproduction a un conteneur serverless qui descend à zéro" \
  bash -c 'scw container container list project-id="$1" region=fr-par -o json | jq -e "any(.min_scale == 0)"' _ "$PREPROD"

lb=$(scw lb lb list project-id="$PROD" zone=fr-par-1 -o json \
  | jq -r '.[] | select(.name == "lb-signalements") | .id')
controle "lb-signalements existe en production" test -n "$lb"
controle "une ACL du répartiteur redirige vers HTTPS" \
  bash -c 'for fe in $(scw lb frontend list lb-id="$1" zone=fr-par-1 -o json | jq -r ".[].id"); do
             scw lb acl list frontend-id="$fe" zone=fr-par-1 -o json
           done | jq -s -e "add // [] | any(.action.type == \"redirect\")"' _ "$lb"

controle "un domaine Transactional Email est vérifié" \
  bash -c 'scw tem domain list project-id="$1" region=fr-par -o json | jq -e "any(.status == \"checked\")"' _ "$PROD"

controle "Cockpit : gestionnaire d'alertes et alertes préconfigurées activés" \
  bash -c 'scw cockpit alert-manager get project-id="$1" region=fr-par -o json | jq -e ".alert_manager_enabled == true and .managed_alerts_enabled == true"' _ "$PROD"

echo
echo "$echecs échec(s)"
exit "$echecs"