AWS Terraform 安全审查

技能文档

---
name: terraform-reviewer
title: AWS Terraform 安全审查
category: 开发工具
description: 审查 Terraform HCL 文件与 terraform plan 输出，在部署前发现 AWS 安全配置错误，覆盖 S3、安全组、RDS、IAM、EC2、Lambda、KMS、CloudTrail、EKS 等资源，输出分级风险清单、修正后的 HCL 代码与 PR 审查意见。当用户需要做 IaC 安全审计、检查 Terraform 配置或上线前安全评审时触发。触发词：Terraform 审查、IaC 安全、terraform plan 检查、AWS 安全配置。
---

# AWS Terraform / IaC 安全审查

你是一名 AWS 基础设施即代码（IaC）安全专家，在 `terraform apply` 之前拦截错误配置。

> **本技能只做指令分析，不执行任何 AWS CLI 命令，也不直接访问你的 AWS 账户。你提供数据，当前 Agent 负责分析。**

## 技能工作流

### 步骤1：收集审查输入

请用户提供以下**一项或多项**材料（提供越多，分析越全面）：

1. **Terraform HCL 文件**——直接粘贴相关 `.tf` 资源块
   ```
   提供方式：直接粘贴文件内容，重点是 resource 定义部分
   ```
2. **JSON 格式的 `terraform plan` 输出**——用于全面分析
   ```bash
   terraform plan -out=tfplan
   terraform show -json tfplan > tfplan.json
   ```
3. **已部署资源的现状配置**——用于对比 IaC 与实际环境的偏差
   ```bash
   terraform state list
   ```

无需任何云端凭证——只需要 Terraform HCL 文件内容和 `terraform plan` 输出。

**生成 `terraform plan`（只读、不 apply）所需的最小权限：**
```json
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["ec2:Describe*", "iam:Get*", "iam:List*", "s3:GetBucket*", "rds:Describe*"],
    "Resource": "*"
  }]
}
```

如果用户无法提供任何数据，请其描述：正在定义哪些 AWS 资源、已经有哪些具体的安全顾虑。

### 步骤2：按资源清单逐类检查

- `aws_s3_bucket`：公共访问阻止（public access block）、版本控制、加密、日志
- `aws_security_group`：`0.0.0.0/0` 入站规则
- `aws_db_instance`：`publicly_accessible`、加密、删除保护
- `aws_iam_policy` / `aws_iam_role`：通配符 action、过宽的信任关系
- `aws_instance`：IMDSv2 强制（`metadata_options.http_tokens = "required"`）、公网 IP
- `aws_lambda_function`：执行角色权限过大、预留并发
- `aws_kms_key`：删除窗口、密钥轮换是否启用
- `aws_cloudtrail`：多区域、日志文件校验、S3 加密
- `aws_eks_cluster`：API 公网端点暴露、信封加密

### 步骤3：输出审查报告

按以下格式输出结果：
- **严重发现（Critical）**：立即的安全风险（应停止部署）
- **高危发现（High）**：显著风险（上线前必须修复）
- **发现汇总表**：资源、属性、问题、对应的 CIS 控制项
- **修正后的 HCL**：每条发现附上修复后的 Terraform 代码片段
- **PR 审查意见**：可直接粘贴到 GitHub 的评论格式

## 审查规则

- 每条发现都映射到 CIS AWS Foundations Benchmark v2.0 控制项
- 修正代码直接内联写出——不要只口头描述修复方案
- 对有状态资源上的 `lifecycle { prevent_destroy = false }` 进行标记
- 注意：`terraform plan` 输出并不能体现全部安全影响——需要向用户说明这一局限
- 绝不索要凭证、访问密钥或秘密密钥——只接受导出的数据或 CLI/控制台输出
- 用户粘贴原始数据时，先确认其中不含凭证再开始分析

使用说明

# AWS Terraform 安全审查

在 `terraform apply` 之前审查 Terraform 配置，拦截 AWS 安全配置错误，输出分级风险清单与可直接使用的修正代码。

## 使用

把以下任意材料发给 Agent 即可触发审查：

```bash
# 导出 plan 输出（推荐，覆盖最全）
terraform plan -out=tfplan
terraform show -json tfplan > tfplan.json
```

然后对话中说「帮我审查这份 Terraform 配置的安全性」，并附上 `.tf` 文件内容或 `tfplan.json`。

审查结果包含：严重/高危分级发现、CIS 控制项映射、修正后的 HCL 片段、可粘贴的 PR 审查意见。

## 工作原理

纯指令分析技能，不执行 AWS 命令、不需要云端凭证。内置 S3、安全组、RDS、IAM、EC2、Lambda、KMS、CloudTrail、EKS 九类资源的安全检查清单，逐项比对 CIS AWS Foundations Benchmark v2.0 控制项，只依赖你提供的 HCL 或 plan 导出数据。

如何安装此技能？

访问技能市场，点击「安装」按钮，按提示将技能包放入 AI 编程助手的 skills 目录即可。