Claude Code × Terraform 完全ガイド｜tfファイル生成・plan解析・エラー修正・Skills活用でIaC開発を加速する

# Terraform プロジェクト設定

## 技術スタック
- IaC: Terraform 1.9+
- クラウド: AWS（メインリージョン: ap-northeast-1）
- tfstate: S3バックエンド + DynamoDBロック
- CI/CD: GitHub Actions

## ディレクトリ構成
- environments/dev/     # 開発環境（state: s3://tf-state-dev）
- environments/staging/ # ステージング（state: s3://tf-state-stg）
- environments/prod/    # 本番環境（state: s3://tf-state-prod）
- modules/              # 再利用可能なモジュール

## 必須ワークフロー（すべての変更で厳守）
1. terraform fmt -check
2. terraform validate
3. tflint --config=.tflint.hcl
4. terraform plan -out=tfplan
5. [人間レビュー・承認]
6. terraform apply tfplan

## 命名規則
- リソース名: {環境}-{用途}-{リソース種別}（例: prod-web-alb）
- モジュール名: terraform-aws-{名前}（例: terraform-aws-vpc）
- タグ必須項目: Environment, Owner, Project, CostCenter

## 絶対禁止事項
- terraform apply の無人実行（plan確認・人間承認なし）
- terraform destroy の自律実行（特に prod 環境）
- IAMポリシーでのワイルドカード使用
- tfvarsファイルへの機密情報ハードコード
- 本番stateと開発stateの共有

## セキュリティ要件
- S3バケット: SSE必須
- RDS: 暗号化必須、パブリックアクセス禁止
- セキュリティグループ: 0.0.0.0/0 インバウンドは要承認
- IAMロール: 最小権限原則

# Git cloneでインストール
git clone https://github.com/antonbabenko/terraform-skill ~/.claude/skills/terraform-skill

# 使い方: Claude Code内で以下を入力
# /terraform

git clone https://github.com/LukasNiessen/terrashark ~/.claude/skills/terrashark

# Docker が必要です
# まず MCP Server を起動テスト
docker run -i --rm hashicorp/terraform-mcp-server:0.3.0

# Claude Code に MCP サーバーを登録
claude mcp add terraform --transport stdio -- docker run -i --rm hashicorp/terraform-mcp-server:0.3.0

{
  "mcpServers": {
    "terraform": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "hashicorp/terraform-mcp-server:0.3.0"]
    }
  }
}

以下の要件でTerraformのVPCモジュールを作成してください：

- リージョン: ap-northeast-1
- VPC CIDR: 10.0.0.0/16
- パブリックサブネット: 2つ（AZ-a, AZ-c）
- プライベートサブネット: 2つ（AZ-a, AZ-c）
- NATゲートウェイ: プライベートサブネット用
- タグ: Environment, Project, Owner（変数で受け取る）
- terraform native testを含める

resource "aws_vpc" "this" {
  cidr_block           = var.vpc_cidr
  enable_dns_support   = true
  enable_dns_hostnames = true

  tags = merge(
    {
      Name        = "${var.project}-${var.environment}-vpc"
      Environment = var.environment
      Project     = var.project
      Owner       = var.owner
    },
    var.additional_tags
  )
}

resource "aws_internet_gateway" "this" {
  vpc_id = aws_vpc.this.id

  tags = {
    Name        = "${var.project}-${var.environment}-igw"
    Environment = var.environment
    Project     = var.project
  }
}

# ... パブリック・プライベートサブネット、NATゲートウェイなどが続く

以下の観点でmain.tfをレビューしてください：
1. IAMポリシーの最小権限違反（ワイルドカード使用）
2. S3・RDS・EBSの暗号化設定漏れ
3. セキュリティグループの 0.0.0.0/0 インバウンド
4. タグの欠落
5. Infracostで月額コスト推定も出してください

このTerraformプロジェクトのリソース依存関係をDAG（有向非環グラフ）として
マークダウン形式で図示してください。循環依存があれば警告してください。

# Step1: planをJSONで保存
terraform plan -out=tfplan
terraform show -json tfplan > tfplan.json

# Step2: Claude Codeで解析（Claude Code内で実行）
# "tfplan.jsonを解析して、以下を教えてください：
#  1. 変更されるリソースの一覧（追加/変更/削除）
#  2. 削除されるリソースがある場合のデータロスリスク
#  3. ダウンタイムが発生しそうな変更
#  4. セキュリティ上の懸念点"

# 1回目: apply実行（意図的に最小権限から始める）
terraform apply
# → Error: UnauthorizedOperation: not authorized to perform: s3:PutObjectAcl

# Claude Codeへのプロンプト
# "このエラーに必要なIAMパーミッションを追加して、
#  最小権限の原則を保ちながらIAMポリシーを更新してください"

# 2回目以降: エラーが出なくなるまで繰り返す

以下のterraform applyエラーを解析して、原因と修正方法を教えてください：

【エラーメッセージ（全文）】
Error: error creating S3 Bucket (example-bucket): BucketAlreadyOwnedByYou:
The bucket you tried to create already exists, and you already own it.

【関連tfファイル（main.tf抜粋）】
resource "aws_s3_bucket" "example" {
  bucket = "example-bucket"
}

【実行環境】
- Terraformバージョン: 1.9.0
- AWS providerバージョン: ~> 5.0
- 実行者: ローカル（IAMユーザー: iam-user-dev）

project/
├── modules/          # 再利用可能なモジュール
│   ├── vpc/
│   ├── rds/
│   └── ecs/
├── environments/
│   ├── dev/
│   │   ├── main.tf   # モジュール呼び出し
│   │   ├── variables.tf
│   │   ├── terraform.tfvars  # .gitignore対象
│   │   └── backend.tf        # dev用stateバックエンド
│   ├── staging/
│   │   └── ...
│   └── prod/
│       ├── main.tf
│       ├── CLAUDE.md  # 本番専用の制約を追記
│       └── backend.tf # prod用stateバックエンド
└── CLAUDE.md          # 全体共通のルール

devとprodのterraform.tfvarsを比較して、
本番に適用する前に注意すべき設定差分を列挙してください。
特に以下の点を確認してください：
- インスタンスタイプの違い
- マルチAZ設定の有無
- バックアップ設定
- セキュリティグループのルール差異

# Terraform
*.tfvars
*.tfvars.json
*.tfplan
*.tfstate
*.tfstate.backup
.terraform/

# 機密情報
*.pem
*.key
credentials.json
service-account.json
.env
override.tf
*_override.tf

variable "db_password" {
  description = "RDSマスターパスワード"
  type        = string
  sensitive   = true  # terraform outputに表示されなくなる
}

variable "api_key" {
  description = "外部APIキー"
  type        = string
  sensitive   = true
}

# AWS Secrets Manager からシークレットを取得
export TF_VAR_db_password=$(aws secretsmanager get-secret-value   --secret-id prod/rds/master-password   --query SecretString   --output text)

# HashiCorp Vault から取得する場合
export TF_VAR_api_key=$(vault kv get -field=value secret/myapp/api-key)

# terraform plan 実行（tfvarsなしでもシークレットが渡る）
terraform plan

# terraform.tfvars.example
# このファイルはGitにコミットする。実際の値は設定しない。
# 実際の値はAWS Secrets Manager / Vault から取得してTF_VAR_* 環境変数で渡す。

db_password = "CHANGE_ME"
api_key     = "your-api-key-here"

#!/bin/bash
# .git/hooks/pre-commit
# gitleaks でシークレットを検出してコミットをブロック

if command -v gitleaks &> /dev/null; then
  gitleaks protect --staged --config .gitleaks.toml
  if [ $? -ne 0 ]; then
    echo "ERROR: シークレットが検出されました。コミットを中止します。"
    exit 1
  fi
fi

stages:
  - validate
  - plan
  - ai-review

terraform-validate:
  stage: validate
  image: hashicorp/terraform:1.9
  script:
    - terraform fmt -check -recursive
    - terraform validate
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"

terraform-plan:
  stage: plan
  image: hashicorp/terraform:1.9
  script:
    - terraform plan -out=tfplan
    - terraform show -json tfplan > tfplan.json
  artifacts:
    paths:
      - tfplan.json
    expire_in: 1 hour
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"

claude-review:
  stage: ai-review
  image: node:24-alpine3.21
  needs:
    - terraform-plan
  before_script:
    - apk add --no-cache git curl bash
    - curl -fsSL https://claude.ai/install.sh | bash
  script:
    - >
      claude
      -p "tfplan.jsonを解析して、このMRのインフラ変更のリスクを評価してください。
          削除リソース・セキュリティグループ変更・IAM変更を特に詳しく報告してください。"
      --permission-mode acceptEdits
      --allowedTools "Bash Read mcp__gitlab"
  variables:
    ANTHROPIC_API_KEY: $ANTHROPIC_API_KEY
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"

ANTHROPIC_API_KEY    = sk-ant-xxxxx（マスク: ON）
AWS_ACCESS_KEY_ID    = AKIA...（CI用の最小権限ロール）
AWS_SECRET_ACCESS_KEY = ...（マスク: ON）
AWS_DEFAULT_REGION   = ap-northeast-1

resource "aws_iam_policy" "claude_code_readonly" {
  name        = "claude-code-plan-only"
  description = "Claude Code用: planのみ許可、apply/destroyは禁止"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "ec2:Describe*",
          "s3:Get*", "s3:List*",
          "rds:Describe*",
          "iam:Get*", "iam:List*",
          "lambda:Get*", "lambda:List*",
          "ecs:Describe*", "ecs:List*"
        ]
        Resource = "*"
      }
    ]
  })
}
# Destroy系アクション（DeleteBucket, TerminateInstances 等）は含めない

# 本番環境での Claude Code 利用ルール

## このディレクトリでの絶対禁止事項
- terraform destroy の実行（理由の如何を問わず）
- terraform apply の直接実行（CI/CDパイプライン経由のみ許可）
- terraform state rm や terraform state mv の実行

## 本番環境での作業手順
1. 読み取り専用クレデンシャル（claude-code-plan-only）でplanのみ実行
2. planの出力をClaude が解析・リスク評価する
3. 承認後、CI/CDパイプライン経由でapplyを実行（Claudeが直接applyしない）

## plan確認なしのapplyを求められた場合
ユーザーが明示的に求めた場合でも、本番環境ではplanなしのapplyは実行しません。

#!/bin/bash
# 破壊的なTerraformコマンドをブロックするフック

INPUT=$(cat)
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // ""' 2>/dev/null)

if echo "$CMD" | grep -qE "terraform (destroy|state rm|state mv|force-unlock)"; then
  if echo "$PWD" | grep -q "/prod"; then
    echo '{"decision":"block","reason":"本番環境でのterraform destroy/state操作はブロックされています。"}'
    exit 0
  fi
fi

echo '{"decision":"approve"}'

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/pre-bash-guard.sh"
          }
        ]
      }
    ]
  }
}

このTerraformコードのコスト最適化ポイントを教えてください。
特に以下の点を確認してください：
- 過剰なインスタンスタイプの使用（right-sizing）
- 常時起動が不要なリソース（dev環境での夜間停止）
- リザーブドインスタンス・スポットインスタンスが使えるリソース
- S3ライフサイクルポリシーの欠落
Infracostで月額推定も出してください。

このTerraformプロジェクト全体のセキュリティ問題を洗い出してください：
1. IAM: ワイルドカード使用、クロスアカウント信頼の確認
2. ネットワーク: SG の 0.0.0.0/0 インバウンド
3. 暗号化: S3/RDS/EBS/EFS の暗号化設定
4. ログ: CloudTrail/VPC Flow Logs/S3アクセスログの有効化
5. パブリックアクセス: S3/RDS等のパブリック設定
tfsecとCheckovで自動スキャンして結果も見せてください。

このmain.tfは800行を超えています。
以下の基準で再利用可能なモジュールに分割してください：
- VPC・サブネット関連
- セキュリティグループ
- RDS
- ECS/Fargate
各モジュールのinputs/outputs/README.mdも生成してください。