GitHub Actions で Terraform のドリフトを検知し、Claude Code GitHub Actions に要約させて Issue 起票してみた

name: terraform-drift-check
on:
  workflow_dispatch:
  schedule:
    - cron: "0 0 * * *"
permissions:
  contents: read
  issues: write
  id-token: write
jobs:
  drift-check:
    runs-on: ubuntu-latest
    defaults:
      run:
        working-directory: terraform-drift-detection
    steps:
      - uses: actions/checkout@v7
      - uses: aws-actions/configure-aws-credentials@v6
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
          aws-region: ap-northeast-1
      - uses: hashicorp/setup-terraform@v4
        with:
          terraform_wrapper: false
      - run: terraform init
      - id: plan
        run: |
          set +e
          terraform plan -detailed-exitcode -out=tfplan
          code=$?
          set -e
          if [ "$code" = "2" ]; then
            echo "drift=true" >> "$GITHUB_OUTPUT"
          else
            echo "drift=false" >> "$GITHUB_OUTPUT"
          fi
      - if: steps.plan.outputs.drift == 'true'
        run: |
          terraform show -json tfplan > plan.json
          terraform show -no-color tfplan > plan.txt

---
name: drift-summary
description: terraform plan の出力（plan.json / plan.txt）からドリフト（実リソースとコードの差分）の内容を要約し、GitHub Issueで報告する。判定（ドリフトの有無）はexit codeで既に確定しており、このスキルは検知後の内容整理だけを担う。「plan.json のドリフト内容を要約」「/drift-summary」などで使う。
---

# ドリフト要約

`terraform plan -detailed-exitcode` がドリフトあり（exit code 2）と判定した後、その内容を GitHub Issue にまとめる。
ドリフトの有無の判定はワークフロー側のexit codeが既に済ませている。このスキルは判定をやり直さない。

## 対象ファイル

呼び出し元から渡されたディレクトリ（例 `terraform-drift-detection/`）にある2ファイルを読む。

- `plan.txt` — `terraform show -no-color` の生出力
- `plan.json` — `terraform show -json` の出力。`.resource_changes[]` を使う

## 変更内容の抽出

`plan.json` の `.resource_changes[]` から `actions` が `no-op` 以外の要素だけを見る。

各要素について次を確認する。

- `.address` — リソース
- `.change.actions` — `update` / `delete` / `["delete","create"]`(replace) など
- `.change.before` と `.change.after` の差分キー（値そのものは要約に転記してよいが、シークレットらしい値は伏せる）

## 原因の推測（断定しない）

変更されたキーの傾向から、次のパターンで書き分ける。断定はせず「〜の可能性がある」で止める。

- タグ・Name・説明文など運用上よく手で触る属性のみの変更 → 「コンソール等からの手動変更の可能性」
- セキュリティグループのルール、IAMポリシーなど → 「手動変更、または別の自動化ツールによる変更の可能性」
- AWS側が非同期に更新する属性（一部の `arn`, タイムスタンプ系, サービス側の既定値付与など）のみ → 「AWS側の自動更新・既定値付与による差分の可能性」
- 上記に当てはまらない、複数属性にまたがる変更 → 「原因不明。手動変更・他ツール・AWS側変更のいずれの可能性もある」と明記する

## 対応要否の目安

- タグ・Name等の軽微な属性のみで実害がない → 「放置可、または次回applyで揃える程度で良い」
- セキュリティ設定・容量・台数など実害があり得る属性 → 「要確認。コードに合わせて実態を戻すか、コード側を実態に合わせて修正するか判断が要る」
- 判断が難しい場合は「要確認」とだけ書き、機械的にimport/修正コマンドを指示しない

## Issue本文の構成

1. 冒頭に `plan.txt` の内容をそのままコードブロックで貼る
2. 続けて `## 要約` セクションに、リソースごとの変更点・原因推測・対応要否をまとめる

```
## Terraform ドリフト検知

<plan.txt の内容をそのままコードブロックで>

## 要約

### aws_instance.web が update

- 変更: tags.Name
- 原因推測: タグのみの変更のため、コンソール等からの手動変更の可能性
- 対応: 実害は小さい。次回のドリフト検知放置か、コードに合わせて実態を戻すかは運用判断
```

## 重複防止

Issue作成前に `gh issue list --state open --search "in:title Terraform ドリフト検知"` で未クローズの同種Issueがあるか確認する。

- 既存Issueがあれば、新規作成せず `gh issue comment <番号>` で今回の検知内容を追記する
- 無ければ `gh issue create` で新規作成する。タイトルは `Terraform ドリフト検知: <working-directory名>` で統一し、次回以降の検索対象にする

      - id: claude
        if: steps.plan.outputs.drift == 'true'
        uses: anthropics/claude-code-action@v1
        with:
          claude_code_oauth_token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          github_token: ${{ secrets.GITHUB_TOKEN }}
          prompt: |
            REPO: ${{ github.repository }}

            /drift-summary terraform-drift-detection/plan.json のドリフト内容を要約し、GitHub Issueで報告してください。
          claude_args: |
            --allowedTools "Read,Bash(gh issue list:*),Bash(gh issue create:*),Bash(gh issue comment:*)"

## Terraform ドリフト検知

Terraform used the selected providers to generate the following execution
plan. Resource actions are indicated with the following symbols:
  ~ update in-place

Terraform will perform the following actions:

  # aws_instance.web will be updated in-place
  ~ resource "aws_instance" "web" {
        id                                   = "<INSTANCE_ID>"
      ~ tags                                 = {
          ~ "Name" = "drift-demo-manual-change" -> "drift-demo"
        }
      ~ tags_all                             = {
          ~ "Name" = "drift-demo-manual-change" -> "drift-demo"
        }
        # (39 unchanged attributes hidden)

        # (9 unchanged blocks hidden)
    }

Plan: 0 to add, 1 to change, 0 to destroy.

## 要約

### aws_instance.web が update

- 変更: `tags.Name`, `tags_all.Name` (`"drift-demo-manual-change"` -> `"drift-demo"`)
- 原因推測: タグ（Name）のみの変更のため、コンソール等からの手動変更の可能性
- 対応: 実害は小さい。次回applyでコード定義値（`drift-demo`）に揃えるか、実態（`drift-demo-manual-change`）に合わせてコードを修正するかは運用判断