Hashicorp Sentinel无法导入tfplan/v2及Terraform计划分析问题求助

测试用例 #

我的main.tf文件内容如下：

provider "azurerm" {
  subscription_id = "XXX"
  features {
  }
}

terraform {
  required_providers {
    azurerm = {
      source = "hashicorp/azurerm"
    }
  }
}

resource "azurerm_resource_group" "rg1" {
  name     = "RG1"
  location = "westeurope"
}

生成计划的命令：

terraform plan -out="plan.tfplan"
terraform show -json plan.tfplan >plan.json

使用的Sentinel策略文件policy.sentinel：

import "tfplan/v2" as tfplan

main = rule {
    true
}

执行结果 #

运行命令sentinel apply policy.sentinel时出现报错：

policy.sentinel - Runtime error while running the policy:
policy.sentinel:1:1: Import "tfplan/v2" is not available
A runtime error is a non-recoverable error due to some unexpected or invalid condition. When a runtime error is experienced, the result of the policy is "false".

版本信息 #

• Terraform v1.11.0
• Sentinel v0.30.0

疑问 #

1. 为何出现该错误，应如何解决？
2. 通常情况下，Sentinel如何识别Terraform计划输出文件？是否有命名约定？

问题1：报错原因及解决方法 #

报错核心原因是直接执行sentinel apply无法自动关联Terraform计划数据源，tfplan/v2是Sentinel专为Terraform集成设计的模块，必须明确指定加载对应的Terraform计划JSON文件，才能初始化该模块。单独执行sentinel apply时，Sentinel无法识别要加载的计划数据，导致模块导入失败。

解决步骤：
执行sentinel apply时，通过-data参数指定Terraform计划的JSON文件路径，命令格式如下：

sentinel apply -data tfplan=plan.json policy.sentinel

这里的tfplan是固定数据源名称，需与策略中import "tfplan/v2"的前缀匹配，后面紧跟你的计划JSON文件路径。你的Sentinel v0.30.0版本支持tfplan/v2模块，只要正确传递数据源即可解决导入问题。

问题2：Sentinel识别Terraform计划文件的方式 #

Sentinel没有强制的文件名约定，但需满足以下要求：

• 必须将Terraform计划转换为JSON格式（你已通过terraform show -json完成此步骤）。
• 执行sentinel apply时，必须通过-data参数显式指定数据源映射，格式为-data <数据源名称>=<文件路径>。其中<数据源名称>需与策略中导入的模块前缀一致：比如用import "tfplan/v2"，数据源名称就用tfplan；若使用旧版import "tfplan"（v1模块），同样用tfplan作为数据源名称。
• 如需加载多个数据源（如Terraform状态文件），可多次使用-data参数，示例：

  sentinel apply -data tfplan=plan.json -data tfstate=terraform.tfstate policy.sentinel
  

内容的提问来源于stack exchange，提问作者Frédéric De Lène Mirouze