Lab : l'infrastructure de Signalements en code

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « l'infrastructure de Signalements en code ».
# Usage : bash verifier-lab.sh   (à la racine du dépôt, après terraform init pour la préproduction)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
export TF_IN_AUTOMATION=1
TF=${TF:-terraform}   # TF=tofu pour OpenTofu
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

controle "le code est formaté" "$TF" fmt -check -recursive
controle "la configuration est valide" "$TF" validate -no-color

controle "le fichier de verrouillage est versionné" git ls-files --error-unmatch .terraform.lock.hcl
controle "il couvre linux_amd64 et darwin_arm64" \
  bash -c 'grep -q "\"zh:" .terraform.lock.hcl && [ "$(grep -c "\"h1:" .terraform.lock.hcl)" -ge 2 ]'
controle "le fournisseur Scaleway est épinglé par ~>" \
  bash -c 'grep -rEq "source *= *\"scaleway/scaleway\"" --include=*.tf . && grep -rEq "version *= *\"~> *[0-9]" --include=*.tf .'
controle "aucune clé d'API dans les fichiers versionnés" \
  bash -c '! git grep -nE "SCW[A-Z0-9]{17}|secret_key *= *\"[0-9a-f-]{36}\"" -- . ":!verifier-lab.sh"'
controle "aucun état, plan ou fichier d'environnement secret versionné" \
  bash -c '[ -z "$(git ls-files | grep -E "\.tfstate(\.backup)?$|\.tfplan$|(^|/)\.terraform/")" ]'
controle "le .gitignore exclut l'état et .terraform/" \
  bash -c 'grep -q "tfstate" .gitignore && grep -q "\.terraform" .gitignore'

controle "les deux fichiers de valeurs existent" \
  test -f environnements/preprod.tfvars -a -f environnements/prod.tfvars
controle "les deux configurations partielles de backend existent" \
  test -f backend-preprod.hcl -a -f backend-prod.hcl
controle "le backend est s3 avec use_lockfile" \
  bash -c 'grep -rEq "backend +\"s3\"" --include=*.tf . && grep -rqE "use_lockfile *= *true" --include=*.tf --include=*.hcl .'
controle "chaque variable a un type et une description" \
  bash -c 'awk "/^variable /{v=1;t=0;d=0} v&&/^ +type *=/{t=1} v&&/^ +description *=/{d=1} /^}/{if(v&&!(t&&d))bad++; if(v)n++; v=0} END{exit !(n>0 && bad==0)}" *.tf'
controle "au moins une variable a une validation" \
  bash -c 'grep -rq "validation {" --include=*.tf .'
controle "les instances sont générées par for_each" \
  bash -c 'grep -rEzq "resource \"scaleway_instance_server\"[^{]*\{[^}]*for_each" --include=*.tf .'
controle "la base et le bucket sont protégés par prevent_destroy" \
  bash -c '[ "$(grep -rc "prevent_destroy *= *true" --include=*.tf . | awk -F: "{s+=\$2} END{print s}")" -ge 2 ]'
controle "un mot de passe en écriture seule est utilisé" \
  bash -c 'grep -rqE "password_wo|data_wo" --include=*.tf .'

etat=$("$TF" state pull 2>/dev/null)
controle "l'état est lisible depuis le backend distant" test -n "$etat"
controle "aucun fichier d'état local ne traîne" test ! -e terraform.tfstate
controle "l'état ne contient aucun attribut de mot de passe renseigné" \
  bash -c 'jq -e "[.. | objects | to_entries[] | select((.key | test(\"password\")) and (.value | type == \"string\") and (.value != \"\"))] | length == 0" <<< "$1"' _ "$etat"
controle "les deux instances sont dans l'état" \
  bash -c 'jq -e "[.resources[] | select(.type == \"scaleway_instance_server\") | .instances[]] | length == 2" <<< "$1"' _ "$etat"

"$TF" plan -var-file=environnements/preprod.tfvars -detailed-exitcode -input=false -lock=false -no-color > /dev/null 2>&1
code=$?
controle "le plan ne propose aucun changement (code 0)" test "$code" -eq 0

echo
echo "$echecs échec(s)"
exit "$echecs"