rheinwerk/tf-parliament

Terraform Parliament - 在Terraform文件上运行Parliament AWS IAM检查器

镜像概述和主要用途

Parliament可根据最新的https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html检查IAM策略的有效性，例如识别使用旧版Action（如`billing:*`）而非当前版本（如`aws-portal:*`）的情况。默认情况下，Parliament仅运行于JSON格式的IAM策略，而非Terraform文件。本工具解析Terraform文件，识别`aws_iam_policy_document`元素，生成最终的IAM策略文档字符串，并对其运行Parliament检查。它会对Terraform插值`${...}`进行占位处理，确保Parliament可将其评估为有效的JSON。

核心功能和特性

• 解析Terraform文件中的aws_iam_policy_document元素
• 生成对应的IAM策略文档字符串
• 对Terraform插值${...}进行占位处理，确保JSON有效性
• 运行Parliament检查生成的策略文档，验证是否符合AWS IAM规范

使用场景和适用范围

适用于需要检查Terraform文件中IAM策略合规性的场景，确保IAM策略符合AWS最新IAM规范，特别适合在开发流程中集成以提前发现策略问题。

问题

• 插值占位处理（如"用*替换资源中的所有${...}"）有时会导致无效值，需要比当前正则替换更复杂的处理方式
• 无单元测试 :(
• 目前不适合作为GitHub Action使用（原计划），因为尚未实现--recursive功能

使用方法和配置说明

Docker

https://hub.docker.com/repository/docker/rdkls/tf-parliament

使用/github/workspace/挂载包含Terraform文件的目录，因为此镜像旨在作为GitHub Action运行：

注意：

• 示例中使用fish shell的(pwd)，在bash中请替换为`pwd`
• 最后一个示例中的参数需要加引号，以避免shell在传递给docker前展开通配符

Native（非Docker方式）

bash
pip install -r requirements.txt
tf-parliament.py my-template.tf

（同样支持通配符和目录，与Docker方式相同）

环境要求

• Docker
• Terraform Files v0.12+（v0.11也可能兼容）