Errores de configuración en el código HCL

En HCL un argumento ausente toma el valor por omisión del proveedor, y ese valor puede cambiar de una versión a otra o no ser el seguro. Por eso los revisores prefieren que lo importante esté escrito de forma explícita: si el cifrado o el acceso público dependen de un valor por omisión, nadie que lea el archivo puede saber qué queda configurado, y una actualización del proveedor puede cambiarlo sin tocar una línea del repositorio.

Esto también aplica al revés: encontrar un valor escrito en true en un argumento de exposición no es un descuido del proveedor, es una decisión que alguien escribió y que hay que cuestionar.

En datos.tf está la base de la conciliación. Dos argumentos hablan de su seguridad: uno decide si la base recibe una dirección alcanzable desde internet y otro decide si sus discos se cifran. En el mismo recurso, el argumento de la contraseña maestra no aparece: la base le pide su gestión al servicio de secretos del proveedor, lo cual es una buena práctica y no hay que reportarlo.

La revisión lee el recurso completo y separa lo que está mal de lo que está bien hecho; reportar lo correcto como fallo resta crédito al resto del informe.

El bloqueo de acceso público de un almacenamiento de objetos tiene cuatro interruptores independientes: bloquear listas de control públicas nuevas, ignorar las existentes, bloquear políticas públicas y restringir el acceso público a quien ya tiene una política. Activar solo algunos deja puertas abiertas: una política con principal comodín pasa por la que sigue en false. En el código el bloque tiene los cuatro argumentos con valor verdadero o falso, y un recuento rápido dice cuántos quedaron sin proteger.

El recuento importa porque el informe debe decir la magnitud: no es «tiene el bloqueo», sino cuántas de las cuatro protecciones faltan.

En red.tf hay tres grupos de seguridad y solo uno está mal. El de la web abre el 443 a todo internet porque es la puerta pública del servicio y eso es lo esperado. El de administración limita el acceso al rango de la oficina. El tercero abre un puerto de base de datos a todo internet, y ese es el que exige corrección. El nombre local del recurso es la segunda cadena del encabezado, y es lo que se escribe en el informe junto con el archivo.

Separar el que está mal de los que parecen mal pero no lo están es la mitad del oficio de revisar red en código.

El archivo azure.tf declara una cuenta de almacenamiento de Azure con un argumento que permite que los contenedores y blobs que están dentro admitan acceso anónimo si alguien los configura así. No hace público ningún dato por sí solo, pero quita una barrera: habilita el permiso a nivel de cuenta para que un descuido posterior sí lo exponga. La corrección es escribir el argumento en false, de forma explícita, y que quien necesite excepciones las solicite con dueño y fecha.