Security-First Development: GitOps + Terraform + OPA Policy as Code

Penegakan Kebijakan Infrastruktur Otomatis Menggunakan Open Policy Agent (OPA)

Menulis infrastruktur cloud menggunakan Terraform (IaC) memberikan kemudahan duplikasi lingkungan kerja. Namun tanpa pagar pembatas otomatis, developer dapat secara tidak sengaja membuka port database 3306 ke publik atau membuat storage bucket tanpa enkripsi.

Dengan Policy-as-Code menggunakan Open Policy Agent (OPA) dan bahasa Rego, setiap rencana perubahan infrastruktur divalidasi sebelum perintah terraform apply diizinkan berjalan.

1. Aturan Validasi Keamanan Terraform Plan dengan Rego

package terraform.security

default allow = false

# Larang pembuatan S3 bucket yang tidak memiliki enkripsi AES-256
deny[msg] {
    resource := input.resource_changes[_]
    resource.type == "aws_s3_bucket"
    not resource.change.after.server_side_encryption_configuration
    msg := sprintf("Pelanggaran Keamanan: S3 Bucket '%v' wajib mengaktifkan enkripsi sisi server!", [resource.address])
}

allow {
    count(deny) == 0
}

2. Integrasi ke Alur Kerja GitOps (ArgoCD / Atlantis)

Saat tim membuat Pull Request modifikasi arsitektur, bot CI mengevaluasi file plan JSON terhadap aturan OPA. Jika terdeteksi potensi celah kepatuhan keamanan, PR otomatis diblokir dengan penjelasan yang jelas untuk engineer bersangkutan.

Kesimpulan

Security-First Development melalui Policy-as-Code menggantikan inspeksi manual yang lambat menjadi verifikasi otomatis yang konsisten di seluruh organisasi.