Confidentialite¶

Classification des données OpenTofu¶

Les workflows OpenTofu manipulent des données sensibles qui révèlent la topologie, les identifiants et la configuration de l'infrastructure. La classification est Restreint pour les éléments les plus critiques.

Pour le cadre complet de classification, consultez la rubrique Classification et zones de confiance.

Sécurité du state file¶

Backend remote chiffre¶

Ne jamais stocker le state en local. Utiliser un backend remote avec chiffrement au repos :

terraform {
  backend "gcs" {
    bucket  = "myorg-tofu-state"
    prefix  = "prod/network"
    # Chiffrement au repos par defaut (Google-managed ou CMEK)
  }
}

terraform {
  backend "s3" {
    bucket         = "myorg-tofu-state"
    key            = "prod/network/terraform.tfstate"
    region         = "eu-west-3"
    encrypt        = true                    # Chiffrement SSE-S3
    kms_key_id     = "arn:aws:kms:..."       # Ou SSE-KMS pour cle dediee
    dynamodb_table = "tofu-state-lock"       # Locking
  }
}

Contrôle d'accès au bucket de state¶

# GCS — IAM restreint au state bucket
resource "google_storage_bucket_iam_binding" "state_access" {
  bucket = "myorg-tofu-state"
  role   = "roles/storage.objectAdmin"
  members = [
    "serviceAccount:tofu-ci@myorg.iam.gserviceaccount.com",
  ]
}

Versioning du state¶

Activez le versioning sur le bucket de state pour permettre la recovery en cas de corruption. Sur GCS : gcloud storage buckets update gs://myorg-tofu-state --versioning. Sur S3 : activez le versioning via put-bucket-versioning.

Secrets dans le state¶

Marquage des outputs sensibles¶

Les outputs contenant des secrets doivent etre marques sensitive pour eviter leur affichage dans les logs :

output "database_password" {
  value     = google_sql_user.app.password
  sensitive = true
}

output "api_key" {
  value     = random_password.api_key.result
  sensitive = true
}

Vault provider pour les secrets dynamiques¶

Plutôt que de stocker des secrets statiques, utilisez HashiCorp Vault pour générer des credentials ephemeres :

# Recuperer un secret dynamique depuis Vault
data "vault_generic_secret" "db_creds" {
  path = "database/creds/app-role"
}

resource "google_sql_user" "app" {
  name     = data.vault_generic_secret.db_creds.data["username"]
  password = data.vault_generic_secret.db_creds.data["password"]
  instance = google_sql_database_instance.main.name
}

Les secrets dynamiques expirent automatiquement, limitant la fenêtre d'exposition en cas de compromission du state.

Sécurité du plan output¶

Le fichier tfplan génère par tofu plan -out=tfplan contient les changements prevus et peut révéler des informations sur l'infrastructure existante.

Ajoutez *.tfplan au .gitignore. En CI/CD, stockez le plan comme artefact ephemere avec une retention courte (1-4 heures) :

# GitHub Actions — artefact ephemere
- uses: actions/upload-artifact@v4
  with:
    name: tfplan
    path: infra/tfplan
    retention-days: 1

RBAC — Separation plan / apply¶

Tous les membres de l'équipe ne doivent pas avoir les mêmes droits. La separation entre plan et apply est une mesure de sécurité fondamentale.

Audit trail¶

Chaque tofu apply modifie le state. Activez le versioning sur le bucket (voir section précédente) pour conserver un historique complet des versions.

Les logs du pipeline CI/CD constituent l'audit trail principal :

• Qui a declenche le pipeline (auteur du commit / approbateur de la PR)
• Quoi a change (diff du code HCL dans la PR)
• Quand le tofu apply a ete execute (timestamp du job)
• Résultat (succès/echec, ressources créées/modifiées/detruites)

Isolation réseau¶

Accès restreint au state backend¶

Le bucket de state ne doit etre accessible que depuis :

• Le réseau du pipeline CI/CD
• Les postes des ops autorises (VPN)
• Jamais depuis l'internet public

# S3 — Bucket policy restreignant l'acces par VPC endpoint
resource "aws_s3_bucket_policy" "state" {
  bucket = aws_s3_bucket.state.id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Sid       = "RestrictToVPCEndpoint"
      Effect    = "Deny"
      Principal = "*"
      Action    = "s3:*"
      Resource  = ["${aws_s3_bucket.state.arn}/*"]
      Condition = {
        StringNotEquals = {
          "aws:sourceVpce" = var.vpc_endpoint_id
        }
      }
    }]
  })
}

Sur GCS, utilisez les VPC Service Controls pour créer un perimetre autour du bucket de state.