Sentinel Terraform

Définition

Sentinel est le framework de Policy as Code développé par HashiCorp, intégré dans Terraform Cloud et Terraform Enterprise. Il permet de définir des politiques de gouvernance et de sécurité qui s'appliquent automatiquement à tous les plans Terraform avant leur application (terraform apply), bloquant les déploiements non conformes même si l'opérateur a les droits IAM nécessaires. Sentinel s'intègre dans le workflow Terraform Cloud via des Policy Sets : des ensembles de politiques Sentinel attachés à des workspaces Terraform. Lorsqu'un plan Terraform est généré, Sentinel l'évalue automatiquement avant l'étape d'approbation (apply). Si une politique est violée, l'apply est bloqué (pour les politiques Hard Mandatory) ou marqué avec un avertissement nécessitant une approbation manuelle (pour les politiques Soft Mandatory). Le langage Sentinel est spécifiquement conçu pour les politiques : lisible, expressif, et doté d'un système de types fort. Il inclut des imports permettant d'accéder aux données du plan Terraform (import "tfplan/v2"), aux métadonnées du run (import "tfrun"), et aux politiques de l'organisation (import "tfconfig/v2"). Ces imports donnent accès à toutes les ressources, leurs attributs, et leurs modifications prévues. Les trois niveaux d'application des politiques Sentinel : Advisory (avertissement uniquement, sans blocage), Soft Mandatory (blocage avec possibilité de dérogation par un administrateur autorisé), et Hard Mandatory (blocage absolu sans possibilité de dérogation). Cette hiérarchie permet de graduer l'enforcement selon la criticité de la politique. Sentinel pour Terraform est une fonctionnalité des tiers payants de Terraform Cloud (Team + Governance Plan et Enterprise). Pour les organisations utilisant Terraform open source, des alternatives comme Conftest (avec OPA/Rego), Checkov, ou tfsec offrent des fonctionnalités similaires de scanning de plans Terraform.