Terraform Guardrail

Terraform护栏多云策略（MCP）（TerraGuard）


v5.0自治治理是最新版本。 Terraform护栏现在从 解释治理决策以操作治理循环：补救计划、PR就绪修复 指导、GitHub PR自动化、计划治理循环、趋势仪表板和健康信号 基于评估、证据和豁免而构建。

Terraform护栏多云策略（MCP）（TerraGuard）在Terraform外部运行并转向平台 将标准转化为可执行的CI/CD护栏。它为平台团队提供了策略生命周期管理， 开发人员快速反馈，审计员可追溯的证据，而不会减缓交付。

将其用作CLI、REST API、web UI、MCP服务器或CI门。从内置的TG001-TG023规则开始 编目、添加企业元数据和审批，然后在整个系统中推出通过/警告/阻止决策 GitHub、GitLab、Azure DevOps和AWS CodePipeline。

企业案例研究：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Enterprise-Case-Studies

v1-v5全平台直播应用：https://terraform-guardrail-platform.streamlit.app/

Terraform Guardrail v5 Autonomous Governance feature map

Terraform Guardrail v4 Intelligent feature map

Terraform Guardrail v3 Ecosystem feature map

Terraform Guardrail v2 Enterprise feature map

Terraform Guardrail v1 Foundation feature map

• 发行说明：https://github.com/Huzefaaa2/terraform-guardrail/releases/tag/v5.0.0
• 企业维基：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Release-v2.0.0
• v3生态系统发布：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Release-v3.0.0
• v4智能版本：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Release-v4.0.0
• v5自治治理版本：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Release-v5.0.0
• 贡献：https://github.com/Huzefaaa2/terraform-guardrail/blob/main/CONTRIBUTING.md
• v1基金会实时应用程序：https://terraform-guardrail.streamlit.app/
• v2企业版实时应用程序：https://terraform-guardrail-enterprise.streamlit.app/
• v3-v5治理实时应用程序：https://terraform-guardrail-governance.streamlit.app/
• v1-v5全平台直播应用：https://terraform-guardrail-platform.streamlit.app/
• 企业案例研究：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Enterprise-Case-Studies
• 作者：胡泽发·侯赛因https://www.linkedin.com/in/huzefaaa

使用v1和v2应用程序进行重点演示。使用v3-v5治理应用程序进行连接 企业之旅：政策包、智能评估、补救、PR自动化、计划 治理、证据时间表和健康报告。使用v1-v5全平台应用程序 希望在一个GUI中显示完整的产品故事。新的案例研究维基部分解释了七个 企业采用案例，包括安装步骤和功能演练。

Terraform护栏多云策略（MCP）（TerraGuard）

使基础设施治理可执行

我们正在解决的问题

尽管使用了Terraform和安全扫描程序，企业仍然面临：

• 各团队执行不一致
• 政策实施过晚
• 不可扩展的手动审查
• 对“标准”的不同解读
• 由偏差而非意图引起的审计结果

👉 问题不在于缺乏工具--\ 👉 问题在于缺乏治理分配机制。

什么是Terraform护栏多云策略（MCP）

Terraform Guardrail多云策略（MCP）是Terraform的企业级IaC治理和护栏平台 它直接在CI/CD中强制执行架构意图、合规性和平台标准。

它

• 建立不可谈判的安全底线
• 通过CI/CD一致地分配护栏
• 实现渐进式执行（咨询→ Warn → 严格）
• 使治理版本化、可审计和可重复

治理变成了代码，而不是文档。

适合的地方（生态系统视图）

Terraform护栏不会取代现有的工具——它连接并操作它们。

它是如何工作的（一行）

每一个地形变化在到达云层之前都会穿过同样的护栏。

实施时间：

• 合并请求/拉取请求阶段
• GitLab组级CI实施
• 无回购谈判

企业采用模式

✔ 没有“大爆炸”的推出\ ✔ 团队将自主性置于安全之上

企业为什么要采用地形护栏

没有它：

• 治理依赖于人员和流程
• 控制随时间漂移
• 审计补救措施很昂贵

有了它：

• 治理是自动和一致的
• 安全转移到CI
• 默认情况下生成审计证据
• 平台团队可扩展而不会成为瓶颈

底线（高管离职）

Terraform护栏多云策略（MCP）转向基础设施治理\ 从指导方针到保证。

它实现了速度和安全性，而无需以一个换取另一个。

设计原则

不可协商的安全地板，上面可以自由组合。护栏就住在Terraform外面 平台团队可以强制执行基线不变量，而产品团队则保持敏捷性。

用户视角（高级）

flowchart LR
    USER[Platform + Product Teams] --> CHANNELS[CLI / UI / REST API / CI]
    CHANNELS --> GUARDRAIL[TerraGuard Control Plane]
    GUARDRAIL --> POLICIES[Baseline + Context Policies]
    GUARDRAIL --> REPORTS[Guidance + Evidence]
    GUARDRAIL --> TERRAFORM[Safer Terraform Applies]

    classDef actor fill:#e3f2fd,stroke:#1565c0,stroke-width:1px,color:#0d47a1;
    classDef channel fill:#f3e5f5,stroke:#6a1b9a,stroke-width:1px,color:#4a148c;
    classDef core fill:#e8f5e9,stroke:#2e7d32,stroke-width:1px,color:#1b5e20;
    classDef output fill:#fff3e0,stroke:#ef6c00,stroke-width:1px,color:#e65100;

    class USER actor;
    class CHANNELS channel;
    class GUARDRAIL,POLICIES core;
    class REPORTS,TERRAFORM output;

开发人员使用护栏的方式

flowchart TB
    DEV[Developer] --> CLI[CLI]
    DEV --> UI[Web UI]
    DEV --> API[REST API]
    DEV --> MCP["Multi-Cloud Policy (MCP)"]
    DEV --> GHA[GitHub Action]
    DEV --> GL[GitLab CI]
    DEV --> ADO[Azure DevOps]

    CLI --> GUARDRAIL[TerraGuard]
    UI --> GUARDRAIL
    API --> GUARDRAIL
    MCP --> GUARDRAIL
    GHA --> GUARDRAIL
    GL --> GUARDRAIL
    ADO --> GUARDRAIL

    classDef actor fill:#e3f2fd,stroke:#1565c0,stroke-width:1px,color:#0d47a1;
    classDef channel fill:#ede7f6,stroke:#5e35b1,stroke-width:1px,color:#311b92;
    classDef core fill:#e8f5e9,stroke:#2e7d32,stroke-width:1px,color:#1b5e20;

    class DEV actor;
    class CLI,UI,API,MCP,GHA,GL,ADO channel;
    class GUARDRAIL core;

当前能力

• 带摘要和CSV导出的多文件扫描
• 秘密卫生检查 .tf, .tfvars，以及 .tfstate
• 通过Terraform CLI集成进行模式感知验证
• 通过Terraform注册表查找提供程序元数据
• 用于扫描、元数据和代码段生成的多云策略（MCP）工具
• 用于即时报告的流线型和web UI
• 用于CI/CD采用的停靠REST API
• Docker Compose开发堆栈（API+UI+策略注册表，可选分析）
• 护栏包的OPA捆绑就绪策略注册表
• 通过带有可选签名验证的OPA包进行策略评估
• 最小策略注册表API（版本+审核历史记录）

支持的提供商

• 亚马逊云服务
• Azure
• 谷歌云平台
• Kubernetes
• 舵
• OCI
• 金库
• 阿利克劳德
• vSphere

☁️ AWS支持

Terraform护栏提供 对AWS环境的一流支持 并且被设计为 通过强制执行来补充AWS本机治理服务 预先部署的、具有国际航空安全意识的护栏.

与部署后或在帐户边界操作的AWS本机控件不同， Terraform Guardrail执行架构、安全和合规政策 在Terraform之前 应用，直接位于CI/CD管道内。

支持的AWS CI/CD集成

• GitHub操作 （主要AWS CI集成）
• GitLab 的 （广泛应用于受监管的AWS企业）
• AWS CodePipeline+CodeBuild （通过buildspec集成）

AWS特定功能

• 针对AWS的Terraform预应用护栏执法
• 具有账户和环境意识的政策评估
• OU对齐的护栏（旨在补充AWS组织）
• 在控制塔对齐的环境中执行左移
• 审计证据生成（SOC2、ISO、PCI）

Terraform Guardrail使平台团队能够定义 组织范围内的AWS标准 和 确保在基础设施之前，跨账户、管道和团队一致地执行这些标准 到达AWS。

特征矩阵

建筑（高级）

flowchart TB
    subgraph Interfaces
        CLI([CLI])
        MCP(["Multi-Cloud Policy (MCP) Server"])
        WEB([Web UI])
        API([REST API])
        STL([Streamlit App])
    end

    subgraph Core
        SCAN((Compliance Engine))
        GEN[[Snippet Generator]]
        POLICY{Policy Layering}
    end

    subgraph Integrations
        TF[/Terraform CLI/]
        REG[(Terraform Registry)]
    end

    CLI --> SCAN
    WEB --> SCAN
    API --> SCAN
    STL --> SCAN
    MCP --> SCAN
    MCP --> GEN
    SCAN --> POLICY --> TF
    GEN --> REG

    classDef interface fill:#e3f2fd,stroke:#1e88e5,stroke-width:1px,color:#0d47a1;
    classDef core fill:#e8f5e9,stroke:#2e7d32,stroke-width:1px,color:#1b5e20;
    classDef integration fill:#fff3e0,stroke:#ef6c00,stroke-width:1px,color:#e65100;

    class CLI,MCP,WEB,API,STL interface;
    class SCAN,GEN,POLICY core;
    class TF,REG integration;

架构（详细流程）

flowchart TB
    INPUTS[Inputs: .tf, .tfvars, .tfstate] --> PARSE[Parse & Normalize]
    PARSE --> SCHEMA[Provider Schema + Metadata]
    SCHEMA --> RULES[Apply Guardrail Rules]
    RULES --> REPORT[Findings + Summary]
    REPORT --> OUTPUTS["CLI JSON / UI / Multi-Cloud Policy (MCP) / REST"]

注意：Mermaid图在GitHub和Wiki上呈现。PyPI将显示原始块。

路线图（主要发布）

传说： ✅ 已送达 • 🚧 计划的

与其他工具的比较

Terraform Guardrail多云策略（MCP）（TerraGuard）对IaC治理采取了与传统方法截然不同的方法 扫描或梳理工具。Guardrail作为多云策略（MCP）服务器交付，具有 CLI和web UI。它在Terraform之外运行，公开提供者元数据、扫描配置和状态 用于敏感值，并生成人类可读的报告。它的规则引擎专注于秘密 卫生和只写论点，让平台团队发布不可谈判的护栏，同时 产品团队组成上下文约束。

相比之下，现有的工具，如Checkov、TFLint和OPA/Conftest，主要作为静态代码运行 CI管道中嵌入的分析仪。他们扫描Terraform文件或计划以查找配置错误，但确实如此 不提供集中式控制平面或跨提供商上下文。下表总结了 主要区别：

为什么护栏与扫描仪相辅相成

Checkov提供了一个庞大的策略库和基于图的资源分析来捕捉错误配置 早期，TFLint提供了可插拔的、支持提供者的linting规则来检测无效类型，现已弃用 语法和最佳实践会漂移。这些工具对于Terraform代码的静态分析仍然很有价值。 护栏多云策略（MCP）通过充当高阶控制平面来构建它们：它使用提供者元数据 验证模式使用情况，在Terraform改变状态之前防止秘密泄漏和漂移，以及 将平台拥有的安全层与产品级约束分开。在实践中，团队经常跑步 TFLint或Checkov在其CI中捕获编码错误，而Guardrail作为最后一行 防御，以加强组织护栏并提供情境指导。

Terraform护栏与AWS原生治理工具

摘要

AWS原生治理工具 部署后和以基础设施为中心.\ Terraform护栏提供 预部署、架构感知、IaC原生护栏 那 补充AWS治理，而不是取代它。

快速入门

python -m venv .venv
source .venv/bin/activate
pip install -e "[dev]"

# CLI scan
terraform-guardrail scan examples

# snippet generation
terraform-guardrail generate aws aws_s3_bucket --name demo

# list policy bundles
terraform-guardrail policy list

# registry API
terraform-guardrail registry-api

# Multi-Cloud Policy (MCP) server (stdio)
terraform-guardrail mcp

# Web UI
terraform-guardrail web

从PyPI安装

pip install terraform-guardrail

PyPI：https://pypi.org/project/terraform-guardrail/（最新版本：5.0.0）

例子

这 examples/ 文件夹提供实用的CI模拟：

• examples/fixtures/ 包括好的和坏的地形输入(.tf, .tfvars, .hcl, .tfstate).
• examples/gitlab-ci/ 包含GitLab模板示例和示例输出。
• examples/github-actions/ 包含GitHub Actions工作流和示例输出。
• examples/aws-codepipeline/ 包含CodeBuild构建规范和示例企业证据输出。

每个示例文件夹都包含一个 README.md 具有步骤和预期的输出格式（JSON、SARIF、JSON等）， JUnit、CSV）。

安装程序选项

包装工件在发布标签上生成。发布时启用Homebrew发布 配置了秘密。Windows用户使用Python从PyPI安装。

自制（macOS）

brew install Huzefaaa2/tap/terraform-guardrail

Windows（PyPI）

py -m pip install terraform-guardrail

Linux（curl | bash）

curl -sSL https://github.com/Huzefaaa2/terraform-guardrail/releases/latest/download/install.sh | bash

包装细节： docs/packaging.md.

CLI示例

完整CLI命令参考： commands.md.

# scan a directory
terraform-guardrail scan ./examples --format json

# scan state files too
terraform-guardrail scan ./examples --state ./examples/sample.tfstate

# enable schema-aware validation (requires terraform CLI + initialized workspace)
terraform-guardrail scan ./examples --schema

# evaluate OPA policy bundle (requires opa CLI)
terraform-guardrail scan ./examples --policy-bundle baseline

# fail CI on medium+ findings
terraform-guardrail scan ./examples --fail-on medium

合规规则（内置）

在wiki上查看完整列表：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Compliance-Rules

自定义规则（选项A/选项B）

选项A——环境旋钮（无代码）：

export GUARDRAIL_REQUIRED_TAGS="owner,environment,cost_center"
export GUARDRAIL_ALLOWED_REGIONS="eastus,westus2"
export GUARDRAIL_ALLOWED_INSTANCE_TYPES="t3.medium,t3.large"
terraform-guardrail scan ./infra

选项B——OPA政策包（推荐）：

terraform-guardrail policy init --destination ./my-bundle --bundle-name guardrail
opa build --bundle ./my-bundle --output my-bundle.tar.gz
terraform-guardrail policy validate ./my-bundle.tar.gz
terraform-guardrail scan ./infra --policy-bundle-path ./my-bundle.tar.gz

完整指南：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Custom-Rules

Web 用户界面

访问 http://127.0.0.1:8000 并上传Terraform文件或文件夹以运行智能 企业评价。web UI显示匹配的风险状况、基于上下文的严重程度 调整，并在标准调查结果的基础上提出修复建议。

Streamlit应用程序

Terraform Guardrail保持专注的应用程序和一个完整的平台应用程序。v1和v2保持专注， v3-v5显示了连接的治理循环，v1-v5完整平台提供了一个单一的执行和 从业者工作空间。

运行v1 Foundation演示：

streamlit run streamlit_app.py

运行v2 Enterprise演示：

streamlit run streamlit_app_v2.py

运行v3-v5治理演示：

streamlit run streamlit_app_v3_v5.py

运行v1-v5完整平台演示：

streamlit run streamlit_app_full.py

Streamlit云部署

1. 将此仓库推送到GitHub。
2. 使用主文件路径为v1创建一个Streamlit Cloud应用程序 streamlit_app.py.
3. 使用主文件路径为v2创建第二个Streamlit Cloud应用程序 streamlit_app_v2.py.
4. 使用主文件路径为v3-v5创建第三个Streamlit Cloud应用程序 streamlit_app_v3_v5.py.
5. 使用主文件路径为v1-v5创建第四个Streamlit Cloud应用程序 streamlit_app_full.py.
6. 部署（Streamlit将从安装 requirements.txt，使用Python runtime.txt,

并应用来自的共享主题 .streamlit/config.toml).

容器部署

运行v1 Foundation应用程序：

docker build -f Dockerfile.streamlit -t terraform-guardrail-streamlit:v1 .
docker run --rm -p 8501:8501 terraform-guardrail-streamlit:v1

运行v2 Enterprise应用程序：

docker build -f Dockerfile.streamlit.v2 -t terraform-guardrail-streamlit:v2 .
docker run --rm -p 8502:8501 terraform-guardrail-streamlit:v2

运行v3-v5治理应用程序：

docker build -f Dockerfile.streamlit.v3_v5 -t terraform-guardrail-streamlit:v3-v5 .
docker run --rm -p 8503:8501 terraform-guardrail-streamlit:v3-v5

运行v1-v5完整平台应用程序：

docker build -f Dockerfile.streamlit.full -t terraform-guardrail-streamlit:full .
docker run --rm -p 8504:8501 terraform-guardrail-streamlit:full

REST API（Docker）

生成并运行API服务器：

docker build -t terraform-guardrail .
docker run --rm -p 8080:8080 terraform-guardrail

API端点：

• GET /health
• GET /metrics
• POST /scan
• POST /provider-metadata
• GET /policy-bundles
• GET /policy-bundles/{bundle_id}
• POST /generate-snippet

请求示例：

curl -X POST http://localhost:8080/scan \\
  -H "Content-Type: application/json" \\
  -d '{"path":"./examples","use_schema":false}'

容器图像

拉取已发布的容器映像（基于发布标签构建）：

docker pull ghcr.io/huzefaaa2/terraform-guardrail:latest

运行它：

docker run --rm -p 8080:8080 ghcr.io/huzefaaa2/terraform-guardrail:latest

注册表API映像：

docker pull ghcr.io/huzefaaa2/terraform-guardrail-registry:latest
docker run --rm -p 8090:8090 ghcr.io/huzefaaa2/terraform-guardrail-registry:latest

Docker编写堆栈（本地开发）

调出API+Streamlit UI+策略注册表：

docker compose up --build

启用可选分析（Prometheus+Grafana）：

docker compose --profile analytics up --build

服务URL:

• APIhttp://localhost:8080
• 流线型用户界面：http://localhost:8501
• 策略注册表（静态）：http://localhost:8081
• 策略注册表API：http://localhost:8090
• Prometheus（分析配置文件）：http://localhost:9090
• Grafana（分析简介）：http://localhost:3000（管理员/护栏）

更多详情： docs/docker-compose-guide.md.

政策注册（OPA捆绑包）

本地策略注册表公开了护栏包的OPA包。使用CLI获取捆绑包：

terraform-guardrail policy list
terraform-guardrail policy fetch baseline --destination ./policies
terraform-guardrail policy fetch baseline-signed --destination ./policies

策略评估仅在以下情况下运行 --policy-bundle 提供。如果捆绑包包括验证 设置（公钥+作用域），OPA CLI在评估之前验证捆绑包签名。

注册表API（撰写）： GET /bundles, GET /bundles/{id}/versions, GET /audit.

签名包示例：

• 捆绑： baseline-signed
• 公钥： http://localhost:8081/keys/guardrail.pub

flowchart LR
    subgraph ComposeStack[Docker Compose Stack]
        UI([Streamlit UI])
        API([REST API])
        REG[(Policy Registry)]
        REGAPI([Registry API])
        PROM[[Prometheus]]
        GRAF[[Grafana]]
    end
    UI --> API
    API -.-> REG
    REGAPI -.-> REG
    API --> PROM
    PROM --> GRAF

    classDef core fill:#e8f5e9,stroke:#2e7d32,stroke-width:1px,color:#1b5e20;
    classDef optional fill:#fff3e0,stroke:#ef6c00,stroke-width:1px,color:#e65100;
    class UI,API,REG,REGAPI core;
    class PROM,GRAF optional;

策略分层（基础→ Env → App)

按可预测的顺序铺设分层护栏：

terraform-guardrail scan infra \
  --policy-base baseline \
  --policy-env prod \
  --policy-app payments

环境变量（备选）：

• GUARDRAIL_POLICY_BASE
• GUARDRAIL_POLICY_ENV
• GUARDRAIL_POLICY_APP

GitHub操作（预申请/PR检查）

使用内置操作扫描拉取请求中的Terraform更改：

name: Guardrail

on:
  pull_request:
    paths:
      - "**/*.tf"
      - "**/*.tfvars"
      - "**/*.hcl"
      - "**/*.tfstate"

jobs:
  guardrail:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v5
      - name: Start local policy registry
        run: |
          python -m http.server 8081 --directory ops/policy-registry &
      - uses: ./.github/actions/guardrail
        with:
          path: .
          fail_on: medium
          install_source: repo
          policy_bundle: baseline-signed
          policy_registry: http://localhost:8081

当 policy_bundle 设置后，该操作将自动安装OPA并验证签名（如果 已配置）。

GitLab CI模板

将共享模板包含在您的 .gitlab-ci.yml:

include:
  - project: "Huzefaaa2/terraform-guardrail"
    ref: "v2.0.0"
    file: "/.gitlab/terraform-guardrail.yml"

根据需要覆盖变量：

variables:
  TERRAFORM_GUARDRAIL_SCAN_PATH: "infra"
  TERRAFORM_GUARDRAIL_FAIL_ON: "high"
  TERRAFORM_GUARDRAIL_FORMAT: "pretty"
  TERRAFORM_GUARDRAIL_JSON_REPORT: "guardrail-report.json"
  TERRAFORM_GUARDRAIL_WRITE_REPORT: "true"
  TERRAFORM_GUARDRAIL_SARIF_REPORT: "guardrail-report.sarif"
  TERRAFORM_GUARDRAIL_JUNIT_REPORT: "guardrail-report.junit.xml"
  TERRAFORM_GUARDRAIL_WRITE_SARIF: "true"
  TERRAFORM_GUARDRAIL_WRITE_JUNIT: "true"

可选策略包评估：

guardrail_scan:
  before_script:
    - python -m http.server 8081 --directory ops/policy-registry &
  variables:
    TERRAFORM_GUARDRAIL_POLICY_BUNDLE: "baseline-signed"
    TERRAFORM_GUARDRAIL_POLICY_REGISTRY: "http://localhost:8081"

默认情况下，该模板会发出JSON、SARIF和JUnit报告工件。用以下命令禁用其中任何一个 TERRAFORM_GUARDRAIL_WRITE_REPORT, TERRAFORM_GUARDRAIL_WRITE_SARIF，或 TERRAFORM_GUARDRAIL_WRITE_JUNIT.

Azure DevOps管道

在中使用管道模板 /.azure/terraform-guardrail.yml.

trigger:
  - main

pool:
  vmImage: "ubuntu-latest"

steps:
  - template: .azure/terraform-guardrail.yml
    parameters:
      path: "infra"
      failOn: "high"
      policyBundle: "baseline-signed"
      policyRegistry: "http://localhost:8081"

该模板发布JSON、SARIF和JUnit报告。禁用发布 publishReports: false.

Azure DevOps市场扩展

该回购还包括一个Marketplace扩展脚手架 azure-devops-extension/ 带着一个 Terraform Guardrail Scan 任务。使用构建它 tfx 并从您的ADO发布者帐户发布。

发布后管道使用示例：

steps:
  - task: TerraformGuardrail@1
    inputs:
      path: "infra"
      failOn: "high"
      policyBundle: "baseline-signed"
      policyRegistry: "http://localhost:8081"
      jsonReport: "guardrail-report.json"
      sarifReport: "guardrail-report.sarif"
      junitReport: "guardrail-report.junit.xml"

自动化： Azure DevOps Extension 当出现以下情况时，工作流会在标签推送时发布 设置了秘密：

• ADO_PUBLISHER
• ADO_EXT_PAT

发布链接

• PyPI：https://pypi.org/project/terraform-guardrail/
• GitHub发布：https://github.com/Huzefaaa2/terraform-guardrail/releases
• 容器图像：https://github.com/Huzefaaa2/terraform-guardrail/pkgs/container/terraform-guardrail
• 最新版本：v5.0.0
• 发布历史： RELEASE.md
• 企业特性：https://github.com/Huzefaaa2/terraform-guardrail/wiki/Enterprise-Features

许可

Terraform护栏在 商业来源许可证（BSL）1.1.

这意味着

✅ 免费用于：

• 企业内部平台
• CI/CD管道
• 评估、学习和实验
• 开源贡献

❌ 未经许可不得：

• 提供Terraform护栏作为付费产品或SaaS
• 将其嵌入到商业平台或服务中
• 直接转售或货币化软件

商业用途

商业用途需要 明确的书面许可 来自作者。

如果您希望：

• 提供Terraform护栏作为管理服务
• 将其嵌入商业平台
• 将其作为付费产品的一部分分发

请联系作者讨论许可选项。

许可常见问题

Q： 我可以在公司内部使用Terraform护栏吗？\ 对。未经许可，允许内部使用和CI/CD验证。

Q： 我可以将其作为付费SaaS或托管服务提供吗？\ 否。付费或货币化使用需要明确的书面许可。

Q： 什么时候成为Apache 2.0？\ 在许可证中定义的变更日期（自首次公开发布之日起4年）。

看 LICENSE 和 COMMERCIAL_USAGE.md 完整条款。

部署指导

看 docs/streamlit_cloud.md 了解Streamlit Cloud的详细演练。

发布检查表

• 更新版本 pyproject.toml.
• 更新 RELEASE_NOTES.md 和 CHANGELOG.md.
• 提交更改并推动 main.
• 创建并推送标签： git tag -a vX.Y.Z -m "vX.Y.Z" 然后 git push origin vX.Y.Z.
• 确认GitHub Actions发布工作流已成功完成。

变更日志自动化

此仓库使用 git-cliff 生成 CHANGELOG.md.

git cliff -o CHANGELOG.md

或运行：

make changelog

释放助手

make release-dry VERSION=5.0.0
make version-bump VERSION=5.0.0

多云策略（MCP）工具（当前）

• scan_terraform：对路径和可选状态文件运行合规性检查。
• get_provider_metadata：从Terraform注册表获取提供程序元数据。
• generate_snippet：为公共资源生成Terraform代码段。

许可证

商业来源许可证（BSL）1.1。看 LICENSE.