terrascan

Terrascan IaC 合规扫描

补充说明

Terrascan 扫描 Terraform、Kubernetes、Helm、Kustomize 等 IaC，内置 OPA/Rego 策略，覆盖 CIS、PCI、HIPAA 等合规基线。适合多框架统一扫描。

支持 CLI、Docker 和 CI，输出 JSON、YAML、SARIF 等格式。

常用示例

安装：

brew install terrascan
terrascan version

扫描目录：

terrascan scan -d ./infra
terrascan scan -d ./infra -o json > results.json

指定策略类型：

terrascan scan -d ./infra -t terraform
terrascan scan -d ./infra -p aws

在 CI 中失败：

terrascan scan -d ./infra --non-recursive -o sarif | tee results.sarif

易错点与排错

• 扫描路径太深，包含 .terraform 和缓存，噪声大。
• 策略包版本与 IaC 语法不兼容，解析失败。
• 只扫描源码，不扫描实际云资源。
• 误报没有用策略例外处理，CI 长期失败。
• 输出格式和 CI 集成不匹配，无法展示问题。
• 多框架混合时没有指定类型，扫描范围不可控。
• 结果包含敏感资源信息，注意报告权限。