GitHub Actions で terraform plan を実行して Claude Code にレビューさせてみた

name: terraform-plan-review
on:
  pull_request:
    types: [opened, synchronize]
    paths:
      - "claude-code-terraform-plan-review/**"   # このディレクトリの変更でだけ起動する
permissions:
  contents: read
  pull-requests: write
  id-token: write
jobs:
  plan-review:
    runs-on: ubuntu-latest
    defaults:
      run:
        working-directory: claude-code-terraform-plan-review
    steps:
      - uses: actions/checkout@v7
        with:
          fetch-depth: 0
      - uses: aws-actions/configure-aws-credentials@v6
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
          aws-region: ap-northeast-1
      - uses: hashicorp/setup-terraform@v4
      - run: terraform init
      - run: terraform plan -out=tfplan
      - run: terraform show -json tfplan > plan.json

terraform {
  backend "s3" {
    bucket       = "<STATE_BUCKET>"
    key          = "claude-code-terraform-plan-review/terraform.tfstate"
    region       = "ap-northeast-1"
    use_lockfile = true
  }
}

      - id: claude
        uses: anthropics/claude-code-action@v1
        with:
          claude_code_oauth_token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          github_token: ${{ secrets.GITHUB_TOKEN }}
          prompt: |
            REPO: ${{ github.repository }}
            PR NUMBER: ${{ github.event.pull_request.number }}

            /terraform-plan-review claude-code-terraform-plan-review/plan.json をレビューしてください。
            replace / delete を中心に、適用時のリスクを指摘してください。
            結果は gh pr comment でトップレベルコメントとして投稿してください。
          claude_args: |
            --allowedTools "Read,Bash(jq:*),Bash(gh pr comment:*),Bash(gh pr view:*)"

 variable "ami_id" {
   type    = string
-  default = "ami-0d52744d6551d851e"
+  default = "ami-0a371542ad09d2434"
 }

  # aws_instance.web must be replaced
-/+ resource "aws_instance" "web" {
      ~ ami        = "ami-0d52744d6551d851e" -> "ami-0a371542ad09d2434" # forces replacement
      ~ arn        = "<ARN>" -> (known after apply)
      ~ private_ip = "<PRIVATE_IP>" -> (known after apply)
      ~ public_ip  = "<PUBLIC_IP>" -> (known after apply)
      ~ id         = "<INSTANCE_ID>" -> (known after apply)
        # ...省略...
    }

Plan: 1 to add, 0 to change, 1 to destroy.

## Terraform plan レビュー結果

create: 0 / update: 0 / delete: 0 / **replace: 1**

---

### [HIGH] `aws_instance.web` が replace（破棄→再作成）される

- **アクション**: replace（delete → create）
- **要因**: `ami` 属性の変更（ForceNew フィールドのため、変更すると必ず再作成）
- **リスク**: インスタンスが一度破棄されてからの再作成となる。ルート EBS ボリュームのデータが失われ、再作成完了までダウンタイムが発生する。またプライベート IP アドレスが変わる可能性がある（Elastic IP を使っていない場合）
- **確認事項**:
  - AL2023 への AMI 更新は意図した変更か
  - ルート EBS に保持すべきデータ（アプリケーションデータ・ログ等）がないか。あれば事前スナップショットを取得すること
  - ダウンタイム許容が取れているか（Blue/Green や ASG によるローリング更新が必要でないか）
  - Elastic IP を使っていない場合、IP アドレス変更による影響（DNS・セキュリティグループ・接続先設定）を確認すること