KiroでTerraformコードのテストをする

# 実装計画

- [ ] 1. Terraformタグ設定の実装
- プロバイダーレベルでdefault_tagsを設定し、すべてのリソースに必須タグを自動適用する
- localsブロックで共通タグを定義し、保守性を向上させる
- 既存リソースにNameタグを追加し、リソース識別を改善する
-_要件: 1.1, 1.2, 1.3, 1.4_

- [ ] 2. インフラ動作テストスクリプトの作成
- Terraform構文チェックとリソース作成確認のスクリプトを作成する
- Webサーバー動作確認（HTTP応答）のテストスクリプトを作成する
- ネットワーク接続確認のテストスクリプトを作成する
-_要件: 2.1, 2.2, 2.3, 2.4_

- [ ] 3. セキュリティテストスクリプトの作成
- セキュリティグループのポート制限確認スクリプトを作成する
- IPアドレス制限テスト（許可されたIPからのアクセス）スクリプトを作成する
- IPアドレス制限テスト（拒否されるIPからのアクセス）スクリプトを作成する
-_要件: 2.5, 2.7, 2.8_

- [ ] 4. SSM接続テストスクリプトの作成
- セッションマネージャーでのEC2接続確認スクリプトを作成する
- SSMロールとインスタンスプロファイルの動作確認を含める
-_要件: 2.6, 2.9_

- [ ] 5. セキュリティスキャン機能の実装
- Checkovを使用したTerraformコードのセキュリティスキャンスクリプトを作成する
- 高リスク脆弱性の検出と報告機能を実装する
- IAM権限の最小権限原則チェック機能を実装する
-_要件: 3.1, 3.2, 3.3_

- [ ] 6. 暗号化設定確認機能の実装
- EBSボリュームの暗号化設定確認スクリプトを作成する
- リソースの暗号化状態を検証する機能を実装する
-_要件: 3.4_

- [ ] 7. 統合テストスクリプトの作成
- 全テストを順次実行する統合テストスクリプトを作成する
- テスト結果の集約と報告機能を実装する
- テスト失敗時のエラーハンドリングを実装する
-_要件: 2.1-2.9, 3.1-3.4_

- [ ] 8. ドキュメントとREADMEの作成
- テストスクリプトの使用方法を説明するREADMEを作成する
- 各テストの目的と期待結果を文書化する
- トラブルシューティングガイドを作成する
-_要件: 全要件のサポート文書_

• test-infrastructure.sh
• test-security.sh
• test-ssm.sh
• test-security-scan.sh
• test-encryption.sh

{
  "enabled": true,
  "name":"Terraform セキュリティチェック",
  "description":"Terraformファイルの更新時に認証情報のハードコーディングとセキュリティグループの0.0.0.0/0開放をチェックし、問題があればチャットで修正案を提示します",
  "version":"1",
  "when":{
    "type":"fileEdited",
    "patterns":[
      "*.tf",
      "*.tfvars",
      "*.terraform"
    ]
  },
  "then":{
  "type":"askAgent",
  "prompt":
    "Terraformファイルが更新されました。以下のセキュリティ問題をチェックしてください：\n\n
    1. **認証情報のハードコーディング**\n
    - AWS Access Key、Secret Key\n 
    - パスワード、APIキー\n 
    - データベース接続文字列\n 
    - その他の機密情報\n\n
    2. **セキュリティグループのインバウンドルール**\n 
    - 0.0.0.0/0からのアクセス許可\n 
    - 不適切なポート開放\n 
    - 過度に緩いアクセス制御\n\n
    問題を発見した場合は、以下の形式でチャットを開いて報告してください：\n
    - 問題の場所（ファイル名と行番号）\n
    - 具体的な問題内容\n
    - 推奨される修正案\n
    - セキュリティリスクの説明\n\n
    問題がない場合は、「セキュリティチェック完了：問題は検出されませんでした」と報告してください。"
  }
}

# Terraform Infrastructure Enhancement プロジェクト
## 概要
このプロジェクトは、Terraformで構築したAWSインフラストラクチャに対して、統一されたタグ付与ルールの適用と包括的なテスト機能を提供します。

## 主な機能
- **統一タグ付与**: すべてのAWSリソースに必須タグ（ManagedBy: Terraform、Project: Kiro-test）を自動適用
- **インフラ動作テスト**: Terraformで構築したインフラの動作確認
- **セキュリティテスト**: セキュリティグループ設定とIPアドレス制限の検証
- **SSM接続テスト**: セッションマネージャーによるEC2接続確認
- **セキュリティスキャン**: Checkovを使用したセキュリティ脆弱性検出
- **暗号化設定確認**: EBSボリュームなどの暗号化状態検証
- **統合テスト**: 全テストスイートの自動実行と結果集約

## プロジェクト構成
```
.
├── README.md # このファイル
├── main.tf # Terraformメイン設定
├── outputs.tf # Terraform出力定義
├── run-all-tests.sh # 統合テストスクリプト
├── test-infrastructure.sh # インフラ動作テスト
├── test-security.sh # セキュリティテスト
├── test-ssm.sh # SSM接続テスト
├── test-security-scan.sh # セキュリティスキャンテスト
├── test-encryption.sh # 暗号化設定確認テスト
├── test-network-detailed.sh # 詳細ネットワークテスト
├── .kiro/
│ ├── specs/terraform-infrastructure-enhancement/
│ │ ├── requirements.md # 要件定義書
│ │ ├── design.md # 設計文書
│ │ └── tasks.md # 実装計画
│ └── steering/
│   ├── tag-rules.md # タグ付与ルール
│   └── language.md # 日本語コミュニケーションガイド
└── 各種READMEファイル/
  ├── TEST_README.md # インフラテスト詳細ガイド
  ├── INTEGRATED_TEST_README.md # 統合テスト詳細ガイド
  ├── SECURITY_TEST_README.md # セキュリティテスト詳細ガイド
  ├── SSM_TEST_README.md # SSMテスト詳細ガイド
  └── SECURITY_SCAN_README.md # セキュリティスキャン詳細ガイド
```

## 前提条件
### 必要なツール
以下のツールがインストールされている必要があります：
- **Terraform** (>= 1.0)
- **AWS CLI** (>= 2.0) - 認証情報設定済み
- **jq** - JSON処理用
- **curl** - HTTP通信用
- **nmap** - ポートスキャン用（オプション）
- **Checkov** - セキュリティスキャン用
### インストール方法（macOS）
```bash
# Homebrew経由でのインストール
brew install terraform awscli jq curl nmap
# Checkovのインストール
brew install checkov
# または
pipx install checkov
```

### AWS認証情報の設定
```bash
# AWS CLIプロファイルの設定
aws configure --profile inaba
# または環境変数での設定
export AWS_PROFILE=inaba
export AWS_REGION=ap-northeast-1
```

## クイックスタート
### 1. インフラのデプロイ
```bash
# Terraformの初期化
terraform init
# プランの確認
terraform plan
# インフラのデプロイ
terraform apply
```

### 2. 統合テストの実行
```bash
# 全テストスイートを実行
./run-all-tests.sh
```

### 3. 個別テストの実行
```bash
# インフラ動作テスト
./test-infrastructure.sh
# セキュリティテスト
./test-security.sh
# SSM接続テスト
./test-ssm.sh
# セキュリティスキャ
./test-security-scan.sh
# 暗号化設定確認
./test-encryption.sh
```

## テストスイート詳細
### 1. インフラ動作テスト (`test-infrastructure.sh`)
**目的**: Terraformで構築したインフラの基本動作を確認
**テスト項目**:
- Terraform構文チェック
- リソース作成確認
- Webサーバー動作確認（HTTP応答）
**期待結果**: すべてのリソースが正常に動作し、Webサーバーが「hello world」を返す

### 2. セキュリティテスト (`test-security.sh`)
**目的**: セキュリティグループ設定とアクセス制限を検証
**テスト項目**:
- セキュリティグループのポート制限確認
- 許可されたIPアドレスからのアクセステスト
- 拒否されるIPアドレスからのアクセステスト
- 危険ポートの開放チェック
**期待結果**: 適切なアクセス制限が機能し、不要なポートが開放されていない

### 3. SSM接続テスト (`test-ssm.sh`)
**目的**: セッションマネージャーによるEC2接続を確認
**テスト項目**:
- EC2インスタンスの状態確認
- SSMエージェントの接続状態確認
- IAMロールとポリシーの確認
- セッションマネージャー接続テスト
**期待結果**: SSM経由でEC2インスタンスに接続可能

### 4. セキュリティスキャンテスト (`test-security-scan.sh`)
**目的**: Checkovを使用したセキュリティ脆弱性の検出
**テスト項目**:
- 基本セキュリティスキャン
- 高リスク脆弱性検出
- IAM最小権限原則チェック
- セキュリティグループ設定検証
**期待結果**: 高リスクの脆弱性が検出されない

### 5. 暗号化設定確認テスト (`test-encryption.sh`)
**目的**: リソースの暗号化状態を検証
**テスト項目**:
- EBSボリュームの暗号化設定確認
- アカウントレベルの暗号化設定確認
**期待結果**: 適切な暗号化設定が有効になっている

### 6. 統合テスト (`run-all-tests.sh`)
**目的**: 全テストスイートを順次実行し、結果を集約
**機能**:
- 前提条件チェック
- 全テストスイートの順次実行
- 結果の集約と報告
- エラーハンドリング
**期待結果**: すべてのテストスイートが成功し、包括的なレポートが生成される

## 出力ファイル
テスト実行後、以下のファイルが生成されます：
- `integrated_test_report.txt` - 統合テスト結果の包括的なレポート
- `security_scan_results.json` - Checkovセキュリティスキャンの詳細結果
- `security_scan_report.txt` - セキュリティスキャンの要約レポート
- `encryption_check_results.txt` - 暗号化設定確認の詳細結果
- `iam_check_results.txt` - IAM権限チェックの結果
- `sg_check_results.txt` - セキュリティグループチェックの結果

## 要件対応表
| 要件ID | 要件内容 | 対応テストスクリプト |
|--------|----------|---------------------|
| 1.1-1.4 | タグ付与ルールの適用 | main.tf（実装済み） |
| 2.1 | Terraform構文チェック | test-infrastructure.sh |
| 2.2 | リソース作成確認 | test-infrastructure.sh |
| 2.3 | Webサーバー動作確認 | test-infrastructure.sh |
| 2.5 | セキュリティグループポート制限 | test-security.sh |
| 2.6 | SSM接続確認 | test-ssm.sh |
| 2.7 | 許可IPアドレスアクセス | test-security.sh |
| 2.8 | 拒否IPアドレスアクセス | test-security.sh |
| 2.9 | セッションマネージャー接続 | test-ssm.sh |
| 3.1 | セキュリティスキャン実行 | test-security-scan.sh |
| 3.2 | 高リスク脆弱性検出 | test-security-scan.sh |
| 3.3 | IAM最小権限原則チェック | test-security-scan.sh |
| 3.4 | 暗号化設定確認 | test-encryption.sh |

## トラブルシューティングガイド
### よくある問題と解決方法
#### 1. AWS認証エラー
**問題**:
```
Unable to locate credentials. You can configure credentials by running "aws configure"
```
**解決方法**:
```bash
# AWS CLIの認証情報を設定
aws configure --profile inaba

# または環境変数で設定
export AWS_PROFILE=inaba
export AWS_ACCESS_KEY_ID=your-access-key
export AWS_SECRET_ACCESS_KEY=your-secret-key
export AWS_REGION=ap-northeast-1

# 認証情報の確認
aws sts get-caller-identity
```

#### 2. Terraformの初期化エラー
**問題**:
```
Error: Backend initialization required
```
**解決方法**:
```bash
# Terraformの初期化
terraform init

# プロバイダーの更新が必要な場合
terraform init -upgrade
```

#### 3. EC2インスタンスが見つからない
**問題**:
```
実行中のEC2インスタンスが見つかりません
```
**解決方法**:
```bash
# Terraformでインフラを構築
terraform plan
terraform apply

# インスタンスの状態を確認
aws ec2 describe-instances --filters "Name=tag:Name,Values=kiro-test-web-instance"

# Terraformの状態確認
terraform show
```

#### 4. HTTPアクセスが失敗する
**問題**:
```
HTTPアクセスが失敗しました
```
**原因と解決方法**:
**原因1**: EC2インスタンスが起動中
```bash
# インスタンスの状態確認
aws ec2 describe-instances --instance-ids $(terraform output -raw instance_id)
# 解決方法: 1-2分待ってから再実行
```
**原因2**: セキュリティグループの設定問題
```bash
# セキュリティグループの確認
aws ec2 describe-security-groups --group-ids $(terraform output -raw security_group_id)

# 解決方法: main.tfのセキュリティグループ設定を確認
```
**原因3**: Webサーバー（nginx）が起動していない
```bash
# SSMでインスタンスに接続してnginx状態確認
aws ssm start-session --target $(terraform output -raw instance_id)
sudo systemctl status nginx
sudo systemctl start nginx # 必要に応じて起動
```

#### 5. SSM接続が失敗する
**問題**:
```
SSMエージェントがオンラインではありません
```
**解決方法**:
```bash
# インスタンスの起動から数分待つ
sleep 120
# SSMエージェントの状態確認（インスタンス内で実行）
sudo systemctl status amazon-ssm-agent
sudo systemctl restart amazon-ssm-agent
# IAMロールの確認
aws iam get-role --role-name $(terraform output -raw iam_role_name)
aws iam list-attached-role-policies --role-name $(terraform output -raw iam_role_name)
```

#### 6. Checkovのインストールエラー
**問題**:
```
externally-managed-environment
```
**解決方法**:
```bash
# Homebrewを使用（推奨）
brew install checkov
# または pipx を使用
brew install pipx
pipx install checkov
# pipxのパスを追加
echo 'export PATH="$HOME/.local/bin:$PATH"' >> ~/.zshrc
source ~/.zshrc
```

#### 7. jqコマンドが見つからない
**問題**:
```
jq: command not found
```
**解決方法**:
```bash
# macOSの場合
brew install jq
# Linuxの場合
sudo apt-get install jq # Ubuntu/Debian
sudo yum install jq # CentOS/RHEL
```

#### 8. nmapが利用できない
**問題**:
```
nmapが利用できないため、ポートスキャンをスキップします
```
**解決方法**:
```bash
# macOSの場合
brew install nmap
# Linuxの場合
sudo apt-get install nmap # Ubuntu/Debian
sudo yum install nmap # CentOS/RHEL
```

#### 9. パブリックIPアドレスが取得できない
**問題**:
```
パブリックIPアドレスを取得できませんでした
```
**解決方法**:
```bash
# Terraformのoutput確認
terraform output
# outputs.tfファイルの確認
cat outputs.tf
# 必要に応じてoutputを追加
terraform apply
```

#### 10. セキュリティスキャンで多数の警告
**問題**:
```
多数のセキュリティ警告が検出されました
```
**対応方法**:
**高リスク問題の優先対応**:
- CKV_AWS_260: セキュリティグループの0.0.0.0/0制限
- CKV_AWS_8: EBSボリューム暗号化
- CKV_AWS_79: EC2メタデータサービスv2強制
**設定例**:
```hcl
# セキュリティグループの制限
resource "aws_vpc_security_group_ingress_rule" "allow_http_rule" {
  security_group_id = aws_security_group.web_sg.id
  cidr_ipv4 = "x.x.x.x/32" # 特定IPのみ
  from_port = 80
  ip_protocol = "tcp"
  to_port = 80
  description = "Allow HTTP from office IP"
}

# EBSボリューム暗号化
resource "aws_instance" "web_instance" {
  # ... 他の設定 ...
  root_block_device {
    encrypted = true
  }
  # メタデータサービスv2強制
  metadata_options {
    http_tokens = "required"
  }
}
```

### デバッグのためのコマンド 
#### Terraformの状態確認
```bash
# 現在の状態表示
terraform show
# 特定リソースの状態確認
terraform state show aws_instance.web_instance
# 出力値の確認
terraform output
```

#### AWSリソースの直接確認
```bash
# EC2インスタンス一覧
aws ec2 describe-instances --filters "Name=tag:Project,Values=Kiro-test"
# セキュリティグループ一覧
aws ec2 describe-security-groups --filters "Name=tag:Project,Values=Kiro-test"
# VPC一覧
aws ec2 describe-vpcs --filters "Name=tag:Project,Values=Kiro-test"
# SSM管理対象インスタンス一覧
aws ssm describe-instance-information
```

#### ログファイルの確認
```bash
# 統合テストレポート
cat integrated_test_report.txt
# セキュリティスキャン結果
cat security_scan_report.txt
# 暗号化チェック結果
cat encryption_check_results.txt
```

## パフォーマンス最適化
### テスト実行時間の短縮
1. **並列実行**: 独立したテストは並列で実行可能
2. **キャッシュ活用**: Terraformプランのキャッシュを活用
3. **条件分岐**: 不要なテストをスキップする条件を追加
### リソース使用量の最適化
1. **インスタンスタイプ**: 開発環境では小さなインスタンスタイプを使用
2. **自動停止**: テスト完了後のリソース自動停止
3. **スポットインスタンス**: コスト削減のためのスポットインスタンス活用
## セキュリティベストプラクティス
### 1. アクセス制限
- セキュリティグループで必要最小限のポートのみ開放
- 特定IPアドレスからのアクセスに制限
- WAF（Web Application Firewall）の導入検討
### 2. 暗号化
- 転送時暗号化（HTTPS）の使用
### 3. 監査とログ
- CloudTrailによるAPI呼び出しログ
- VPCフローログによるネットワーク監視
- CloudWatchによるメトリクス監視
### 4. IAM権限
- 最小権限の原則に従った権限設定
- マネージドポリシーの活用
- 定期的な権限レビュー
## CI/CDパイプライン統合
### GitHub Actions例
```yaml
name: Infrastructure Tests
on:
  push:
    branches: [main]
  pull_request:
    branches: [main]
  schedule:
    - cron: '0 9 * * 1' # 毎週月曜日9時
  jobs:
    terraform-tests:
      runs-on: ubuntu-latest
      steps:
        - name: Checkout
          uses: actions/checkout@v3
        - name: Setup Terraform
          uses: hashicorp/setup-terraform@v2
          with:
            terraform_version: 1.5.0
        - name: Configure AWS credentials
          uses: aws-actions/configure-aws-credentials@v2
          with:
            aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
            aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
            aws-region: ap-northeast-1

        - name: Install dependencies
          run: |
            sudo apt-get update
            sudo apt-get install -y jq curl nmap
            pip install checkov

        - name: Terraform Init
          run: terraform init

        - name: Run integrated tests
          run: ./run-all-tests.sh

        - name: Upload test results
          uses: actions/upload-artifact@v3
          if: always()
          with:
            name: test-results
              path: |
                integrated_test_report.txt
                security_scan_results.json
                security_scan_report.txt
```

## 継続的改善
### 1. テストカバレッジの拡張
- パフォーマンステストの追加
- 負荷テストの実装
- 災害復旧テストの追加
### 2. 自動化の強化
- テスト結果の自動通知
- 失敗時の自動ロールバック
- 定期的なセキュリティスキャン
### 3. 監視とアラート
- CloudWatchアラームの設定
- SNS通知の設定
- ダッシュボードの作成
## サポートとコミュニティ
### ドキュメント
- [Terraform公式ドキュメント](https://www.terraform.io/docs)
- [AWS CLI公式ドキュメント](https://docs.aws.amazon.com/cli/)
- [Checkov公式ドキュメント](https://www.checkov.io/)
### 問題報告
問題が発生した場合は、以下の情報を含めて報告してください：
1. 実行環境（OS、ツールバージョン）
2. エラーメッセージの全文
3. 実行したコマンド
4. 生成されたログファイル
### 更新履歴
- v1.0.0: 初回リリース - 基本的なタグ付与とテスト機能
- 今後の予定:
- パフォーマンステストの追加
- 並列実行サポート
- カスタムテストスイートの追加機能
- Terraformモジュール化
---

**注意**: このプロジェクトはAWSリソースを作成するため、AWS料金が発生する可能性があります。テスト完了後は不要なリソースを削除してください（`terraform destroy`）。