# .github/workflows/terraform.yml : pipeline GitHub Actions standard
name: Terraform

on:
  pull_request:
    branches: [main]
  push:
    branches: [main]

jobs:
  terraform:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write             # nécessaire pour commenter le plan sur la PR
    defaults:
      run:
        working-directory: environments/production

    steps:
      - uses: actions/checkout@v4

      - uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: "1.9.0"

      - name: Terraform Format Check
        run: terraform fmt -check -recursive

      - name: Terraform Init
        run: terraform init
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

      - name: Terraform Validate
        run: terraform validate

      - name: Terraform Plan
        id: plan
        run: terraform plan -no-color -out=tfplan
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

      # Sur une Pull Request : uniquement "plan", jamais d'apply automatique
      - name: Commenter le plan sur la PR
        if: github.event_name == 'pull_request'
        uses: actions/github-script@v7
        with:
          script: |
            github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: "Plan Terraform généré, voir les logs du job."
            })

      # Sur main uniquement, ET après revue humaine du plan (approbation d'environnement GitHub)
      - name: Terraform Apply
        if: github.ref == 'refs/heads/main' && github.event_name == 'push'
        run: terraform apply -auto-approve tfplan
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

# Bonnes pratiques CI/CD niveau expert :
# - JAMAIS d'apply automatique sur une Pull Request non fusionnée (uniquement "plan", en lecture seule)
# - Utiliser des "environments" GitHub avec approbation manuelle obligatoire avant apply en production
# - Le plan sauvegardé (-out=tfplan) garantit que l'apply exécute EXACTEMENT ce qui a été revu, pas un plan recalculé
# - Rôles IAM dédiés à la CI (OIDC, pas de clés statiques en secrets si possible) avec permissions minimales
# - Scanner le plan avec un outil de policy-as-code (ex: OPA/Conftest, Sentinel) avant apply

# Authentification CI moderne sans clés statiques : OIDC (OpenID Connect) GitHub Actions <-> AWS IAM
# Configure un rôle IAM qui fait confiance au fournisseur OIDC GitHub, sans secret à stocker
aws iam create-role --role-name github-actions-terraform \
  --assume-role-policy-document file://trust-policy-oidc.json