Terraformコードを安全にGit管理 — .gitignore/pre-commit/tflint/tfsec実践ガイド

# Git
git --version
# git version 2.39.x 以上

# Terraform
terraform --version
# Terraform v1.7.x 以上

# Python（pre-commit 用）
python3 --version
# Python 3.10.x 以上

# 例: RDS パスワードを直接指定した場合
resource "aws_db_instance" "main" {
  identifier  = "mydb"
  engine= "mysql"
  instance_class = "db.t3.micro"
  username = "admin"
  password = "dummy_db_password_here"  # tfstate に平文で記録される
}

.terraform/
├── providers/
│└── registry.terraform.io/
│ └── hashicorp/
│  └── aws/
│└── 5.x.x/
│ └── linux_amd64/
│  └── terraform-provider-aws_v5.x.x  # 数百MB
└── modules/
 └── vpc/
  └── ...

# terraform.tfvars（本来なら .gitignore で除外すべき）
aws_access_key = "AKIA_DUMMY_ACCESS_KEY_12345"
aws_secret_key = "dummy_secret_key_abcdefghijklmnopqrstuvwxyz"
environment = "dev"

cat > .gitignore << 'EOF'
# Terraform ディレクトリ（プロバイダ・モジュールキャッシュ）
.terraform/

# ロックファイル（チーム開発ではコミットする場合あり。後述）
.terraform.lock.hcl

# State ファイル（シークレット含む）
*.tfstate
*.tfstate.backup

# 変数ファイル（シークレット含む可能性）
*.tfvars
*.tfvars.json

# ローカルオーバーライドファイル
override.tf
override.tf.json
*_override.tf
*_override.tf.json
EOF

# =============================================
# Terraform
# =============================================

# プロバイダバイナリ・モジュールキャッシュ
# terraform init で再生成可能。数百MBになる場合あり
.terraform/

# State ファイル群（シークレットが平文で含まれる）
# リモートバックエンド（S3 + DynamoDB 等）を必ず使うこと
*.tfstate
*.tfstate.backup

# 変数ファイル（AWSキー・パスワード等が書かれる可能性）
# テンプレートは *.tfvars.example としてコミットする
*.tfvars
*.tfvars.json

# ローカルオーバーライドファイル（個人設定の混入防止）
override.tf
override.tf.json
*_override.tf
*_override.tf.json

# tfplan バイナリ（terraform plan -out=tfplan で生成）
# バイナリ形式でシークレットが含まれる場合あり
*.tfplan
tfplan

# 生成されたファイル（terraform-docs 等が出力するファイル）
.terraform.tfstate.lock.info

# =============================================
# 認証情報・シークレット（直接配置の防止）
# =============================================

# AWS 認証情報（誤配置防止）
.aws/
credentials
*_credentials

# SSH 秘密鍵
*.pem
*.key
id_rsa
id_ed25519

# 環境変数ファイル
.env
.env.local
.env.*.local

# =============================================
# OS / エディタ固有
# =============================================

# macOS
.DS_Store
.AppleDouble
.LSOverride

# Windows
Thumbs.db
ehthumbs.db
Desktop.ini

# Linux
*~

# JetBrains IDE (IntelliJ, GoLand 等)
.idea/
*.iml

# Visual Studio Code
.vscode/
*.code-workspace

# Vim
*.swp
*.swo

# =============================================
# CI/CD ローカル実行ファイル
# =============================================

# act (GitHub Actions ローカル実行)
.actrc

# =============================================
# ログ・一時ファイル
# =============================================
*.log
*.tmp
*.bak
crash.log
crash.*.log

# .terraform.lock.hcl の例
provider "registry.terraform.io/hashicorp/aws" {
  version  = "5.47.0"
  constraints = "~> 5.0"
  hashes = [
 "h1:abcdefghijklmnopqrstuvwxyz0123456789...",
  ]
}

# .gitignore から .terraform.lock.hcl の行を削除するか、否定パターンを追加
echo "!.terraform.lock.hcl" >> .gitignore

# ロックファイルをトラッキング対象に追加
git add .terraform.lock.hcl
git commit -m "chore: track terraform lock file for consistent provider versions"

mkdir terraform-security-demo && cd terraform-security-demo
git init
echo "Initialized Git repository: $(pwd)"

cat > .gitignore << 'EOF'
.terraform/
.terraform.lock.hcl
*.tfstate
*.tfstate.backup
*.tfvars
*.tfvars.json
override.tf
override.tf.json
*_override.tf
*_override.tf.json
*.tfplan
.env
*.pem
*.key
EOF

# providers.tf
terraform {
  required_providers {
 aws = {
source  = "hashicorp/aws"
version = "~> 5.0"
 }
  }
  required_version = ">= 1.7"
}

provider "aws" {
  region = var.aws_region
}

cat > providers.tf << 'EOF'
terraform {
  required_providers {
 aws = {
source  = "hashicorp/aws"
version = "~> 5.0"
 }
  }
  required_version = ">= 1.7"
}

provider "aws" {
  region = var.aws_region
}
EOF

cat > variables.tf << 'EOF'
variable "aws_region" {
  description = "AWS region"
  type  = string
  default  = "ap-northeast-1"
}
EOF

# .tfvars（シークレットを含む変数ファイル）
cat > terraform.tfvars << 'EOF'
aws_region = "ap-northeast-1"
# 本来ここにシークレットが書かれることがある
EOF

# ダミーの .env ファイル
cat > .env << 'EOF'
AWS_ACCESS_KEY_ID=AKIA_DUMMY_ACCESS_KEY_12345
AWS_SECRET_ACCESS_KEY=dummy_secret_key_abcdefghijklmnopqrstuvwxyz
EOF

terraform init

ls -la
# .terraform/ ディレクトリと .terraform.lock.hcl が生成されている

git status

On branch main

No commits yet

Untracked files:
  (use "git add <file>..." to include in what will be committed)
  .gitignore
  providers.tf
  variables.tf

nothing added to commit but untracked files present (use "git add" to track)

git check-ignore -v terraform.tfvars .env .terraform/

.gitignore:5:*.tfvars terraform.tfvars
.gitignore:11:.env .env
.gitignore:1:.terraform/ .terraform/

git add .gitignore providers.tf variables.tf
git commit -m "feat: add terraform project with security-focused .gitignore"
git show --stat HEAD

cat > terraform.tfvars.example << 'EOF'
# このファイルをコピーして terraform.tfvars を作成してください
# terraform.tfvars は .gitignore で除外されています（コミットしないこと）

aws_region = "ap-northeast-1"
# db_password = "your_secure_password_here"
# api_key  = "your_api_key_here"
EOF

git add terraform.tfvars.example
git commit -m "docs: add tfvars template for local setup"

# ❌ 絶対にやってはいけない例 — provider.tf
provider "aws" {
  access_key = "AKIAIOSFODNN7EXAMPLE"
  secret_key = "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY"
  region  = "ap-northeast-1"
}

# ファイルを削除してコミットしても…
git rm provider.tf
git commit -m "remove credentials"

# git log で過去のコミットを参照すると消えていない
git show abc1234:provider.tf
# → access_key = "AKIAIOSFODNN7EXAMPLE" がまだ見える

# ~/.bashrc または ~/.zshrc に追記（bashの場合は ~/.bashrc）
export AWS_ACCESS_KEY_ID="AKIA_DUMMY_ACCESS_KEY"
export AWS_SECRET_ACCESS_KEY="dummy_secret_access_key_here"
export AWS_DEFAULT_REGION="ap-northeast-1"

# 設定を即座に反映
source ~/.zshrc# zsh の場合
source ~/.bashrc  # bash の場合

# 正しく設定されているか確認
echo $AWS_ACCESS_KEY_ID
# → AKIA_DUMMY_ACCESS_KEY（実際のキーが表示される）

# provider.tf — 認証情報を一切書かない
provider "aws" {
  region = var.aws_region
  # access_key, secret_key は書かない
  # → Terraform が環境変数 AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY を自動で読む
}

# variables.tf
variable "aws_region" {
  description = "AWSリージョン"
  type  = string
  default  = "ap-northeast-1"
}

# 環境変数から自動で認証情報を読み、planが成功する
terraform plan

# 出力例
# Refreshing Terraform state in-memory prior to plan...
# ...
# Plan: 1 to add, 0 to change, 0 to destroy.

# ~/.aws/credentials（このファイル自体も Git 管理外に置く）
[default]
aws_access_key_id  = AKIA_DUMMY_DEFAULT_KEY
aws_secret_access_key = dummy_secret_default

[staging]
aws_access_key_id  = AKIA_DUMMY_STAGING_KEY
aws_secret_access_key = dummy_secret_staging

# 環境を切り替える場合
export AWS_PROFILE=staging
terraform plan# staging プロファイルの認証情報を使用

terraform-git-handson/
├── main.tf
├── variables.tf
├── provider.tf
├── terraform.tfvars ← ❌ Git 管理外（.gitignore に追加）
├── terraform.tfvars.example  ← ✅ Git 管理対象（テンプレート）
└── .gitignore

# .gitignore（Section 2 で作成したものに追記）
# Terraform secrets
terraform.tfvars
*.tfvars
!terraform.tfvars.example  # exampleファイルだけは追跡対象

# terraform.tfvars — .gitignore に追記して除外する
db_password  = "dummy_db_password_here"
api_secret_key  = "dummy_api_secret_here"
slack_webhook= "https://hooks.slack.com/services/dummy/dummy/dummy"

# terraform.tfvars.example — 実際の値は書かない。Git管理対象
db_password  = ""
api_secret_key  = ""
slack_webhook= ""

# variables.tf
variable "db_password" {
  description = "RDS データベースのパスワード"
  type  = string
  sensitive= true  # terraform plan / apply の出力でマスク表示される
}

variable "api_secret_key" {
  description = "外部APIシークレットキー"
  type  = string
  sensitive= true
}

variable "slack_webhook" {
  description = "Slack Webhook URL"
  type  = string
  sensitive= true
}

# terraform.tfvars が存在すれば自動で読み込まれる
terraform plan

# sensitive = true の変数は出力でマスクされる
# Changes to Outputs:
#+ db_endpoint = (sensitive value)

# 1. exampleファイルをコピー
cp terraform.tfvars.example terraform.tfvars

# 2. 実際の値をチームの共有パスワードマネージャーから取得して設定
vim terraform.tfvars

# 3. Gitに追加しないことを確認
git status
# → terraform.tfvars が出力されないことを確認（.gitignore に含まれている）

# secrets.tf
data "aws_secretsmanager_secret" "db_password" {
  name = "prod/myapp/db_password"
}

data "aws_secretsmanager_secret_version" "db_password" {
  secret_id = data.aws_secretsmanager_secret.db_password.id
}

# main.tf — RDS インスタンスに Secrets Manager の値を渡す
resource "aws_db_instance" "main" {
  identifier  = "myapp-db"
  engine= "mysql"
  engine_version = "8.0"
  instance_class = "db.t3.micro"
  allocated_storage = 20

  db_name  = "myappdb"
  username = "admin"
  password = data.aws_secretsmanager_secret_version.db_password.secret_string

  skip_final_snapshot = true
}

# Secrets Manager に保存されている JSON 例
# {"username": "admin", "password": "dummy_db_password_here", "host": "myapp-db.cluster-xxxx.ap-northeast-1.rds.amazonaws.com"}

data "aws_secretsmanager_secret_version" "db_credentials" {
  secret_id = "prod/myapp/db_credentials"
}

locals {
  db_credentials = jsondecode(data.aws_secretsmanager_secret_version.db_credentials.secret_string)
}

resource "aws_db_instance" "main" {
  username = local.db_credentials["username"]
  password = local.db_credentials["password"]
}

# シークレットの ARN を確認
aws secretsmanager describe-secret --secret-id prod/myapp/db_password \
  --query 'ARN' --output text
# → arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/myapp/db_password-AbCdEf

# terraform import で管理下に取り込む
terraform import aws_secretsmanager_secret.db_password \
  arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/myapp/db_password-AbCdEf

# Secrets Manager シークレット自体を Terraform で管理する場合
resource "aws_secretsmanager_secret" "db_password" {
  name  = "prod/myapp/db_password"
  description = "RDS データベースのパスワード"

  recovery_window_in_days = 7  # 削除後7日間は復旧可能
}

# iam.tf — Terraform 実行ロールに Secrets Manager 読み取り権限を付与
data "aws_iam_policy_document" "secrets_read" {
  statement {
 effect = "Allow"
 actions = [
"secretsmanager:GetSecretValue",
"secretsmanager:DescribeSecret"
 ]
 resources = [
"arn:aws:secretsmanager:ap-northeast-1:*:secret:prod/myapp/*"
 ]
  }
}

resource "aws_iam_policy" "secrets_read" {
  name= "terraform-secrets-read"
  policy = data.aws_iam_policy_document.secrets_read.json
}

// terraform.tfstate の一部（例）
{
  "resources": [
 {
"type": "aws_db_instance",
"name": "main",
"instances": [
  {
 "attributes": {
"password": "dummy_db_password_here",
"username": "admin",
"endpoint": "myapp-db.xxxx.ap-northeast-1.rds.amazonaws.com"
 }
  }
]
 }
  ]
}

# .gitignore
*.tfstate
*.tfstate.backup
.terraform/

# backend.tf — S3 リモートバックエンドの設定
terraform {
  backend "s3" {
 bucket= "my-tfstate-bucket"
 key= "prod/terraform.tfstate"
 region= "ap-northeast-1"
 encrypt  = true # S3 SSE-S3 暗号化（保存時暗号化）
 dynamodb_table = "terraform-lock"  # 同時実行防止のロックテーブル
  }
}

# S3 バケットを作成（バージョニングを有効化）
aws s3api create-bucket \
  --bucket my-tfstate-bucket \
  --region ap-northeast-1 \
  --create-bucket-configuration LocationConstraint=ap-northeast-1

aws s3api put-bucket-versioning \
  --bucket my-tfstate-bucket \
  --versioning-configuration Status=Enabled

# DynamoDB テーブルを作成（LockID がパーティションキー）
aws dynamodb create-table \
  --table-name terraform-lock \
  --attribute-definitions AttributeName=LockID,AttributeType=S \
  --key-schema AttributeName=LockID,KeyType=HASH \
  --billing-mode PAY_PER_REQUEST \
  --region ap-northeast-1

# リモートバックエンドに移行
terraform init

# 出力例（ローカル state を S3 に移行するか確認される）
# Do you want to copy existing state to the new backend?
# → yes を入力

# s3_tfstate.tf — tfstate バケットのセキュリティ設定
resource "aws_s3_bucket" "tfstate" {
  bucket = "my-tfstate-bucket"
}

# バージョニング（誤った apply からのロールバック用）
resource "aws_s3_bucket_versioning" "tfstate" {
  bucket = aws_s3_bucket.tfstate.id
  versioning_configuration {
 status = "Enabled"
  }
}

# 暗号化（保存時）
resource "aws_s3_bucket_server_side_encryption_configuration" "tfstate" {
  bucket = aws_s3_bucket.tfstate.id
  rule {
 apply_server_side_encryption_by_default {
sse_algorithm = "AES256"
 }
  }
}

# パブリックアクセスのブロック（最重要）
resource "aws_s3_bucket_public_access_block" "tfstate" {
  bucket= aws_s3_bucket.tfstate.id
  block_public_acls = true
  block_public_policy  = true
  ignore_public_acls= true
  restrict_public_buckets = true
}

1. コードにシークレットを書かない（ハードコード禁止）
2. tfvars は必ず .gitignore に追加する
3. tfstate は Git 管理しない → S3 リモートバックエンドへ
4. 本番は Secrets Manager + IAM ロール（アクセスキー不要）
5. pre-commit フックで誰かのミスも自動でキャッチする

brew install gitleaks

# 最新バージョンを確認してURLを差し替える
GITLEAKS_VERSION="8.21.2"
curl -sSfL \
  "https://github.com/gitleaks/gitleaks/releases/download/v${GITLEAKS_VERSION}/gitleaks_${GITLEAKS_VERSION}_linux_x64.tar.gz" \
  | tar -xz
sudo mv gitleaks /usr/local/bin/

gitleaks version

gitleaks detect --source .

gitleaks detect --source . --staged

# mainブランチの全履歴
gitleaks detect --source . --log-opts="main"

# 直近10コミット分のみ
gitleaks detect --source . --log-opts="-10"

gitleaks detect --source . --report-format json --report-path gitleaks-report.json

Finding:  AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Secret:wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
RuleID:aws-secret-access-key
Entropy:  4.70
File:  terraform/variables.tf
Line:  12
Commit:a3f8c2d1b9e4f076a1234567890abcdef1234567
Author:Jane Doe
Email: jane@example.com
Date:  2024-03-15T10:23:45Z
Fingerprint: a3f8c2d1b9e4f076a1234567890abcdef1234567:terraform/variables.tf:aws-secret-access-key:12

1. AWSコンソールでキーを即座に無効化（IAM → アクセスキー → 無効化）
2. CloudTrailで過去の不正利用がないか確認（直近7日間）
3. git-filter-repo で履歴からシークレットを完全削除
4. force-push で上書き（チーム全員に周知・ローカルリポジトリの再クローンを依頼）
5. 新しいキーを発行し、各環境（CI/CD含む）の環境変数を更新

# インストール
pip install git-filter-repo

# 特定文字列をREDACTEDに置換（シークレット値を指定）
git filter-repo --replace-text <(echo "AKIAIOSFODNN7EXAMPLE==>REDACTED_ACCESS_KEY_ID")

# ファイルごと削除（.envファイルを完全に除去）
git filter-repo --path .env --invert-paths

git push origin --force --all
git push origin --force --tags

# .gitleaks.toml

# デフォルトルールセットを継承
[extend]
useDefault = true

# カスタムルール: 社内APIキー
[[rules]]
id = "internal-api-key"
description = "Internal API Key for Company Systems"
regex = '''(?i)internal[_-]?api[_-]?key\s*=\s*['"]([a-zA-Z0-9]{32,64})['"]'''
tags  = ["api", "internal"]

# エントロピーフィルタ（ランダム度が低い値は除外）
[rules.entropy]
min = 3.5
max = 8.0

# .gitleaks.toml

[[rules]]
id = "aws-access-key-id"
# デフォルトルールを継承しつつ allowlist を追加

[rules.allowlist]
description = "Ignore test fixtures and documentation examples"
regexes  = [
  "AKIAIOSFODNN7EXAMPLE",  # AWSドキュメントのサンプル値
  "AKIAI44QH8DHBEXAMPLE",
]
commits  = [
  "a3f8c2d1b9e4f076a1234567890abcdef1234567",# 既知のテスト用コミット
]

gitleaks detect --source . --config .gitleaks.toml --verbose

# .git/hooks/pre-commit
#!/bin/bash
set -e

echo "Running gitleaks scan..."
gitleaks detect --source . --staged --no-banner
if [ $? -ne 0 ]; then
  echo "ERROR: gitleaks detected secrets. Commit blocked."
  exit 1
fi

chmod +x .git/hooks/pre-commit

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
 rev: v8.21.2
 hooks:
- id: gitleaks

pip install pre-commit
pre-commit install

# .github/workflows/secret-scan.yml
name: Secret Scan

on:
  push:
 branches: ["**"]
  pull_request:
 branches: [main, develop]

jobs:
  gitleaks:
 runs-on: ubuntu-latest
 steps:
- name: Checkout
  uses: actions/checkout@v4
  with:
 fetch-depth: 0  # 全履歴を取得（shallow clone では履歴スキャン不可）

- name: Run gitleaks
  uses: gitleaks/gitleaks-action@v2
  env:
 GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

- name: Run gitleaks with custom config
  uses: gitleaks/gitleaks-action@v2
  with:
 config-path: .gitleaks.toml
  env:
 GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

- name: Run gitleaks (SARIF output)
  uses: gitleaks/gitleaks-action@v2
  with:
 args: "--report-format sarif --report-path gitleaks.sarif"
  env:
 GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

- name: Upload SARIF
  uses: github/codeql-action/upload-sarif@v3
  if: always()
  with:
 sarif_file: gitleaks.sarif

# macOS
brew install git-secrets

# Linux（手動インストール）
git clone https://github.com/awslabs/git-secrets.git
cd git-secrets
sudo make install

# AWSパターンをグローバルに登録
git secrets --register-aws --global

# リポジトリにhookをインストール
cd /path/to/your/repo
git secrets --install

# 既存のリポジトリ全履歴をスキャン
git secrets --scan -r

AWS Access Key ID: AKIA[0-9A-Z]{16}
AWS Secret Access Key: [0-9a-zA-Z/+]{40}

# 禁止パターン（検出対象）を追加
git secrets --add 'MY_CUSTOM_SECRET=[A-Za-z0-9]{20}'

# 許可パターン（偽陽性除外）を追加
git secrets --add --allowed 'AKIAIOSFODNN7EXAMPLE'

Step 1: シークレットを即座に無効化
  → AWSコンソール: IAM → ユーザー → アクセスキー → 無効化
  → 可能であれば「削除」まで実施

Step 2: 不正利用の確認
  → CloudTrail: 過去7日間の該当Access Key IDの操作ログを確認
  → GuardDutyのアラートを確認
  → Cost Explorerで異常なコスト増がないか確認

Step 3: Git履歴から削除
  → git-filter-repo を使用（git filter-branch は非推奨）
  → 対象ファイルまたは文字列を指定して履歴を書き換え

Step 4: force-push
  → チーム全員に作業を周知し、一時的にpushを停止してもらう
  → git push origin --force --all
  → git push origin --force --tags
  → チーム全員がローカルリポジトリを再クローン

Step 5: 新しいシークレットを発行・配布
  → 新しいIAMアクセスキーを発行
  → CI/CD環境変数（GitHub Actions Secrets等）を更新
  → ローカル開発環境の ~/.aws/credentials を更新

Step 6: 再発防止策の実施
  → gitleaks pre-commit フックのインストール
  → GitHub Actions にスキャンワークフローを追加
  → .gitleaks.toml でプロジェクト固有のルールを設定

# AWS CLIでアクセスキーを無効化（GUI操作が困難な場合）
aws iam update-access-key \
  --access-key-id AKIAIOSFODNN7EXAMPLE \
  --status Inactive \
  --user-name target-user

# キーの完全削除
aws iam delete-access-key \
  --access-key-id AKIAIOSFODNN7EXAMPLE \
  --user-name target-user

# 過去24時間の該当Access Key IDのアクティビティを確認
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=AKIAIOSFODNN7EXAMPLE \
  --start-time $(date -u -d '24 hours ago' '+%Y-%m-%dT%H:%M:%SZ') \
  --query 'Events[*].{Time:EventTime,Event:EventName,Resource:Resources[0].ResourceName}' \
  --output table

# .gitignore
*.tfvars
*.tfvars.json
!example.tfvars # サンプルファイルは追跡対象に残す
.terraform/
terraform.tfstate
terraform.tfstate.*

# シークレットをtfvarsに書かず環境変数で渡す
export TF_VAR_db_password="$(aws secretsmanager get-secret-value \
  --secret-id prod/db/password --query SecretString --output text)"

terraform apply

# secrets.tf
data "aws_secretsmanager_secret_version" "db_password" {
  secret_id = "prod/rds/master-password"
}

resource "aws_db_instance" "main" {
  # ...
  password = data.aws_secretsmanager_secret_version.db_password.secret_string
}

リポジトリ
├── .pre-commit-config.yaml  ← チーム共有の設定ファイル
├── .git/
│└── hooks/
│ └── pre-commit ← pre-commit install で自動生成
└── terraform/
 └── main.tf

# macOS（Homebrew）
brew install pre-commit

# pip（Linux / Windows / 仮想環境）
pip install pre-commit

# pipx（グローバルインストールに推奨）
pipx install pre-commit

# バージョン確認
pre-commit --version
# pre-commit 3.7.1

# 1. リポジトリのルートに移動
cd /path/to/your-terraform-repo

# 2. .pre-commit-config.yaml を作成（次のセクションで詳述）
# 3. フックをインストール（.git/hooks/pre-commit が生成される）
pre-commit install

# インストール確認
cat .git/hooks/pre-commit
# #!/usr/bin/env bash
# # File generated by pre-commit: https://pre-commit.com
# ...

# .pre-commit-config.yaml
repos:
  # ── 汎用フック ──────────────────────────────────────
  - repo: https://github.com/pre-commit/pre-commit-hooks
 rev: v4.5.0
 hooks:
- id: trailing-whitespace  # 行末空白を削除
- id: end-of-file-fixer # ファイル末尾の改行を統一
- id: check-yaml  # YAML 構文チェック
- id: check-merge-conflict # マージコンフリクトマーカー検出
- id: detect-private-key# 秘密鍵の混入チェック

  # ── Terraform 専用フック ────────────────────────────
  - repo: https://github.com/antonbabenko/pre-commit-terraform
 rev: v1.88.0
 hooks:
- id: terraform_fmt  # terraform fmt 自動実行
- id: terraform_validate# terraform validate 実行
- id: terraform_docs # README.md を自動更新
  args:
 - --args=--output-file README.md

  # ── シークレット検出 ────────────────────────────────
  - repo: https://github.com/gitleaks/gitleaks
 rev: v8.18.0
 hooks:
- id: gitleaks

# 全ファイルに対して実行（初回チェック）
pre-commit run --all-files

[INFO] Initializing environment for https://github.com/pre-commit/pre-commit-hooks.
[INFO] Initializing environment for https://github.com/antonbabenko/pre-commit-terraform.
[INFO] Initializing environment for https://github.com/gitleaks/gitleaks.
[INFO] Installing environment for https://github.com/pre-commit/pre-commit-hooks.
[INFO] Once installed this environment will be reused.
trailing-whitespace..................................................Passed
end-of-file-fixer....................................................Passed
check-yaml...........................................................Passed
check-merge-conflict.................................................Passed
detect-private-key...................................................Passed
terraform_fmt........................................................Passed
terraform_validate...................................................Passed
terraform_docs.......................................................Passed
gitleaks.............................................................Passed

# terraform_fmt だけ実行
pre-commit run terraform_fmt --all-files

# gitleaks だけ実行
pre-commit run gitleaks --all-files

# フォーマットが崩れた main.tf を作成
cat > main.tf << 'EOF'
resource "aws_s3_bucket" "example" {
bucket = "my-test-bucket"
  tags = {
Name = "example"
  }
}
EOF

# コミット試行
git add main.tf
git commit -m "test: フォーマット崩れのテスト"

terraform_fmt........................................................Failed
- hook id: terraform_fmt
- files were modified by this hook

main.tf

# 自動修正されたファイルを確認
git diff main.tf

# 再ステージング → コミット成功
git add main.tf
git commit -m "test: フォーマット修正済みのテスト"

terraform_fmt........................................................Passed
terraform_validate...................................................Passed
terraform_docs.......................................................Passed
gitleaks.............................................................Passed
[main 1a2b3c4] test: フォーマット修正済みのテスト
 1 file changed, 3 insertions(+), 3 deletions(-)

# ダミーのシークレットを含むファイルを作成
echo 'AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY' >> test.env

git add test.env
git commit -m "test: シークレット混入のテスト"

gitleaks.............................................................Failed
- hook id: gitleaks
- exit code: 1

 ○
 │╲
 │ ○
 ○ ░
 ░ gitleaks

Finding:  AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Secret:wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
RuleID:aws-secret-access-key
Entropy:  4.234
File:  test.env
Line:  1
Fingerprint: test.env:aws-secret-access-key:1

# test.env からシークレットを削除
rm test.env

# .gitignore に追加して誤コミットを防ぐ
echo "*.env" >> .gitignore
git add .gitignore
git commit -m "chore: .env ファイルを .gitignore に追加"

# .gitleaksignore を作成
cat > .gitleaksignore << 'EOF'
# テスト用ダミー値のフィンガープリントを除外
test/fixtures/dummy_secrets.tf:aws-secret-access-key:5
docs/examples/terraform.tfvars:aws-access-token:12
EOF

# macOS
brew install terraform-docs

# バージョン確認
terraform-docs --version
# terraform-docs version v0.17.0

<!-- terraform-docs の出力先マーカー（README.md に追記） -->
<!-- BEGIN_TF_DOCS -->
<!-- END_TF_DOCS -->

# variables.tf を変更してコミット試行
git add terraform/modules/s3/variables.tf
git commit -m "feat: S3 モジュールに新しい変数を追加"

terraform_docs.......................................................Failed
- hook id: terraform_docs
- files were modified by this hook

terraform/modules/s3/README.md

git add terraform/modules/s3/README.md
git commit -m "feat: S3 モジュールに新しい変数を追加"
# terraform_docs.......................................................Passed

# .github/workflows/pre-commit.yml
name: pre-commit

on:
  pull_request:
  push:
 branches: [main]

jobs:
  pre-commit:
 runs-on: ubuntu-latest
 steps:
- uses: actions/checkout@v4
  with:
 fetch-depth: 0  # gitleaks の全履歴スキャンに必要

- uses: actions/setup-python@v5
  with:
 python-version: "3.11"

- uses: pre-commit/action@v3.0.1

# 特定フックのみスキップ（カンマ区切りで複数指定可）
SKIP=terraform_docs git commit -m "docs: ドキュメント更新は後回し"

# 複数フックをスキップ
SKIP=terraform_docs,terraform_validate git commit -m "wip: 一時的なスキップ"

# 全フックのバージョンを最新に更新
pre-commit autoupdate

# 更新後の .pre-commit-config.yaml の差分確認
git diff .pre-commit-config.yaml

# キャッシュクリア（フック動作がおかしい場合）
pre-commit clean

brew install tflint

# バージョン確認
tflint --version
# TFLint version 0.50.3

curl -s https://raw.githubusercontent.com/terraform-linters/tflint/master/install_linux.sh | bash

tflint --version

TFLINT_VERSION="0.50.3"
curl -sLo tflint.zip \
  "https://github.com/terraform-linters/tflint/releases/download/v${TFLINT_VERSION}/tflint_linux_amd64.zip"
unzip tflint.zip -d /usr/local/bin/
chmod +x /usr/local/bin/tflint
tflint --version

# .tflint.hcl
plugin "aws" {
  enabled = true
  version = "0.29.0"
  source  = "github.com/terraform-linters/tflint-ruleset-aws"
}

rule "terraform_required_version" {
  enabled = true
}

rule "terraform_required_providers" {
  enabled = true
}

rule "terraform_naming_convention" {
  enabled = true

  resource {
 format = "snake_case"
  }

  variable {
 format = "snake_case"
  }
}

rule "aws_instance_invalid_type" {
  enabled = true
}

rule "aws_s3_bucket_name" {
  enabled = false  # バケット名のカスタム規則がある場合は無効化
}

# AWSプラグインをダウンロード（初回のみ）
tflint --init
# Initializing plugins...
# - aws (0.29.0) installed

# カレントディレクトリをスキャン
tflint

# サブディレクトリも含めてスキャン（modules/ 配下も検証）
tflint --recursive

# 出力形式を JSON にする（CI/CDでの機械処理向け）
tflint --format json

# 特定ファイルのみスキャン
tflint main.tf

# main.tf（意図的な誤り）
resource "aws_instance" "web" {
  ami  = "ami-0c55b159cbfafe1f0"
  instance_type = "t9.micro"  # 存在しないタイプ
}

tflint
# 1 issue(s) found:
#
# Error: "t9.micro" is an invalid value as instance_type (aws_instance_invalid_type)
#
#on main.tf line 3:
# 3:instance_type = "t9.micro"
#
# Reference: https://github.com/terraform-linters/tflint-ruleset-aws/blob/v0.29.0/rules/aws_instance_invalid_type.md

# main.tf（修正後）
resource "aws_instance" "web" {
  ami  = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.micro"  # 正しいタイプ
}

# terraform.tf（required_version なし）
terraform {
  required_providers {
 aws = {
source  = "hashicorp/aws"
version = "~> 5.0"
 }
  }
}

tflint
# 1 issue(s) found:
#
# Warning: terraform "required_version" attribute is required (terraform_required_version)
#
#on terraform.tf line 1:
# 1: terraform {

# terraform.tf（修正後）
terraform {
  required_version = ">= 1.6.0"

  required_providers {
 aws = {
source  = "hashicorp/aws"
version = "~> 5.0"
 }
  }
}

# .pre-commit-config.yaml（tflint 追記分）
repos:
  - repo: https://github.com/antonbabenko/pre-commit-terraform
 rev: v1.88.0
 hooks:
- id: terraform_fmt
- id: terraform_validate
- id: terraform_tflint
  args:
 - --args=--init # プラグインを自動DL
 - --args=--recursive  # サブディレクトリも対象

# 全ファイルに対して手動実行
pre-commit run terraform_tflint --all-files
# tflint.......................Passed

# .github/workflows/tflint.yml
name: tflint

on:
  pull_request:
  push:
 branches:
- main

jobs:
  tflint:
 runs-on: ubuntu-latest
 permissions:
contents: read

 steps:
- uses: actions/checkout@v4

- name: Setup TFLint
  uses: terraform-linters/setup-tflint@v4
  with:
 tflint_version: v0.50.3

- name: Show version
  run: tflint --version

- name: Init TFLint
  run: tflint --init
  env:
 GITHUB_TOKEN: ${{ github.token }}  # プラグインDL時のrate limit回避

- name: Run TFLint
  run: tflint --recursive --format compact

git add .github/workflows/tflint.yml .tflint.hcl
git commit -m "ci: add tflint workflow"
git push origin feature/add-security-checks

# plan前の標準チェックフロー
terraform fmt -recursive
tflint --recursive
terraform validate
terraform plan

# ~/.zshrc または ~/.bashrc
alias tfcheck='terraform fmt -recursive && tflint --recursive && terraform validate'

brew install tfsec

tfsec --version
# v1.28.9

curl -sSfL https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install.sh | bash

tfsec --version

TFSEC_VERSION="1.28.9"
curl -sLo tfsec \
  "https://github.com/aquasecurity/tfsec/releases/download/v${TFSEC_VERSION}/tfsec-linux-amd64"
chmod +x tfsec
sudo mv tfsec /usr/local/bin/
tfsec --version

# カレントディレクトリをスキャン
tfsec .

# JSON形式で出力（CI連携・差分確認向け）
tfsec . --format json

# SARIF形式（GitHub Code Scanning向け）
tfsec . --format sarif

# 特定の重大度以上のみ報告
tfsec . --minimum-severity HIGH

# 特定ディレクトリをスキャン
tfsec ./environments/prod

# s3_insecure.tf（意図的なセキュリティ問題）
resource "aws_s3_bucket" "example" {
  bucket = "my-insecure-bucket"
}
# 暗号化・パブリックアクセスブロック設定なし

tfsec .
# Result #1 HIGH Bucket does not have encryption enabled
# ────────────────────────────────────────────────────────────────────
#ID aws-s3-enable-bucket-encryption
#  Impact The bucket objects could be read if compromised
# ────────────────────────────────────────────────────────────────────
#Resource: aws_s3_bucket.example
#  File:s3_insecure.tf:1-3
# ────────────────────────────────────────────────────────────────────
#
# Result #2 HIGH Bucket does not have public access block enabled
# ────────────────────────────────────────────────────────────────────
#ID aws-s3-block-public-acls
# ...

# s3_secure.tf（修正後）
resource "aws_s3_bucket" "example" {
  bucket = "my-secure-bucket"
}

resource "aws_s3_bucket_server_side_encryption_configuration" "example" {
  bucket = aws_s3_bucket.example.id

  rule {
 apply_server_side_encryption_by_default {
sse_algorithm = "AES256"
 }
  }
}

resource "aws_s3_bucket_public_access_block" "example" {
  bucket = aws_s3_bucket.example.id

  block_public_acls = true
  block_public_policy  = true
  ignore_public_acls= true
  restrict_public_buckets = true
}

# sg_insecure.tf（意図的な問題）
resource "aws_security_group_rule" "http" {
  type  = "ingress"
  from_port= 80
  to_port  = 80
  protocol = "tcp"
  cidr_blocks = ["0.0.0.0/0"]

  security_group_id = aws_security_group.web.id
}

tfsec .
# Result #1 MEDIUM Security group rule allows ingress from public internet.
#ID aws-ec2-no-public-ingress-sgr

# sg_secure.tf（修正後）
resource "aws_security_group_rule" "http" {
  type= "ingress"
  from_port = 80
  to_port= 80
  protocol  = "tcp"
  source_security_group_id = aws_security_group.alb.id  # ALBのSGのみ許可

  security_group_id = aws_security_group.web.id
}

mkdir -p .tfsec

# .tfsec/config.yml
exclude:
  - aws-s3-enable-bucket-logging # ログ不要なバケットに適用しない

severity_overrides:
  aws-s3-block-public-acls: CRITICAL  # デフォルトより厳しく設定

minimum_severity: LOW# 全件報告（デフォルト）

resource "aws_s3_bucket" "public_assets" {
  bucket = "my-public-static-assets"
  #tfsec:ignore:aws-s3-block-public-acls
  #tfsec:ignore:aws-s3-block-public-policy
}

# .pre-commit-config.yaml（tfsec 追記分）
repos:
  - repo: https://github.com/antonbabenko/pre-commit-terraform
 rev: v1.88.0
 hooks:
- id: terraform_fmt
- id: terraform_validate
- id: terraform_tflint
  args:
 - --args=--init
 - --args=--recursive
- id: terraform_tfsec
  args:
 - --args=--minimum-severity=HIGH  # HIGH以上のみでブロック

pre-commit run terraform_tfsec --all-files
# terraform_tfsec..............Passed

# .github/workflows/tfsec.yml
name: tfsec

on:
  pull_request:
  push:
 branches:
- main

jobs:
  tfsec:
 runs-on: ubuntu-latest
 permissions:
contents: read
security-events: write# SARIF アップロードに必要

 steps:
- uses: actions/checkout@v4

- name: Run tfsec
  uses: aquasecurity/tfsec-action@v1.0.3
  with:
 minimum_severity: HIGH
 format: sarif
 sarif_file: tfsec.sarif

- name: Upload SARIF file
  uses: github/codeql-action/upload-sarif@v3
  if: always()
  with:
 sarif_file: tfsec.sarif

# .github/workflows/terraform-checks.yml
name: Terraform Checks

on:
  pull_request:
  push:
 branches:
- main

jobs:
  lint:
 name: tflint
 runs-on: ubuntu-latest
 permissions:
contents: read

 steps:
- uses: actions/checkout@v4

- uses: terraform-linters/setup-tflint@v4
  with:
 tflint_version: v0.50.3

- name: Init TFLint
  run: tflint --init
  env:
 GITHUB_TOKEN: ${{ github.token }}

- name: Run TFLint
  run: tflint --recursive --format compact

  security:
 name: tfsec
 runs-on: ubuntu-latest
 permissions:
contents: read
security-events: write

 steps:
- uses: actions/checkout@v4

- name: Run tfsec
  uses: aquasecurity/tfsec-action@v1.0.3
  with:
 minimum_severity: HIGH
 format: sarif
 sarif_file: tfsec.sarif

- name: Upload SARIF
  uses: github/codeql-action/upload-sarif@v3
  if: always()
  with:
 sarif_file: tfsec.sarif

# Terraform 品質チェック一式
terraform fmt -recursive# フォーマット
tflint --recursive# 構文・API整合性
tfsec . --minimum-severity HIGH  # セキュリティ
terraform validate# 設定検証
terraform plan # 差分確認

# ~/.zshrc
alias tfqa='terraform fmt -recursive && tflint --recursive && tfsec . --minimum-severity HIGH && terraform validate'

git commit 実行
  ↓
[pre-commit hooks — ローカル自動検証]
  ├─ trailing-whitespace: ✅ 末尾空白を検出・除去
  ├─ end-of-file-fixer:✅ 末尾改行を統一
  ├─ check-merge-conflict: ✅ コンフリクトマーカー検出
  ├─ terraform_fmt:  ✅ HCLフォーマット自動修正
  ├─ terraform_validate:✅ 構文・型チェック
  └─ gitleaks: ✅ シークレット漏洩検出なし
  ↓
[コミット成功]
  ↓
git push → GitHub PR作成
  ↓
[GitHub Actions CI — リモート自動検証]
  ├─ pre-commit（全フック再実行）: ✅
  ├─ tflint（ベストプラクティス）: ✅
  └─ tfsec（セキュリティスキャン）: ✅
  ↓
[PR マージ可能 — レビュー後マージ]

【Git管理の基盤】
□ .gitignore — .terraform/ / *.tfstate / *.tfstate.backup を除外
□ .gitignore — *.tfvars / override.tf / crash.log を除外
□ .gitignore — .env / *.pem / *.key / credentials* を除外

【シークレット管理】
□ ハードコード禁止 — AWS_ACCESS_KEY_ID 等を直書きしていない
□ 環境変数 or AWS Secrets Manager で外部化済み
□ terraform.tfvars に機密値がある場合は .gitignore 対象に追加
□ locals {} でのシークレット合成禁止（terraform show で可視）

【漏洩防止スキャン】
□ gitleaks — インストール済み（brew install gitleaks）
□ gitleaks — 全コミット履歴スキャン済み（gitleaks detect --source .）
□ 既存漏洩があれば git-filter-repo で履歴書き換え済み

【pre-commit hooks】
□ pre-commit — インストール済み（pip install pre-commit）
□ .pre-commit-config.yaml — 設定済み
□ pre-commit install — フック有効化済み
□ pre-commit run --all-files — 全ファイルへの適用確認済み

【静的解析】
□ tflint — インストール済み（brew install tflint）
□ .tflint.hcl — 設定ファイル作成済み（aws プラグイン有効化）
□ tflint --init — プラグインインストール済み
□ tflint — 重要度 WARNING 以上の問題なし

【セキュリティスキャン】
□ tfsec — インストール済み（brew install tfsec）
□ tfsec . — 重大度 HIGH / CRITICAL の問題なし
□ 許容する LOW/MEDIUM 警告は .tfsec.yaml で除外設定済み

【CI/CD】
□ GitHub Actions — .github/workflows/terraform-security.yml 設定済み
□ CI — pre-commit / tflint / tfsec の3段階チェックが動作確認済み
□ Secrets — GitHub Repository Secrets に AWS 認証情報を登録済み

開発者ローカル→  pre-commit（フォーマット + gitleaks）で即時フィードバック
リポジトリレベル →  .gitignore + シークレット管理で根本的に漏洩を防止
CI/CD  →  tflint + tfsec + pre-commit で全 PR を自動検証

第1弾: Git基礎 → ローカルでコードを管理する
第2弾: GitHub基礎  → チームでコードを共有・レビューする
第3弾: ブランチ戦略 → 開発フローを体系化する
第4弾（本記事） → セキュリティ基盤を構築して安全に運用する
第5弾（次回）→ CI/CDパイプラインで自動デプロイを実現する