Lab 56 — Um ambiente por conta, sem copiar e colar

$ diff -ru ambientes-copiados/dev ambientes-copiados/prod
diff -ru ambientes-copiados/dev/main.tf ambientes-copiados/prod/main.tf
--- ambientes-copiados/dev/main.tf
+++ ambientes-copiados/prod/main.tf
@@ -40,7 +40,7 @@
   health_check {
     path                = "/health/ready"
-    interval            = 15
+    interval            = 30
     timeout             = 5
     healthy_threshold   = 2
     unhealthy_threshold = 2
   }

Only in ambientes-copiados/hml: alarme-5xx.tf

# O segundo achado é o que mais importa, e um diff de VALOR não o mostra: um
# arquivo inteiro — o alarme de 5xx — só existe na pasta de homologação.
# "Only in" é a linha do diff que a maioria ignora ao procurar divergência,
# porque se procura valor diferente, não arquivo ausente.

{
  "version": "0",
  "id": "5c2c7c39-2c8b-4a2e-9e2e-8f1e6b6f9a11",
  "detail-type": "CodePipeline Stage Execution State Change",
  "source": "aws.codepipeline",
  "account": "555555555555",
  "time": "2026-08-07T14:32:09Z",
  "region": "us-east-1",
  "resources": [
    "arn:aws:codepipeline:us-east-1:555555555555:cadencia-promocao"
  ],
  "detail": {
    "pipeline": "cadencia-promocao",
    "execution-id": "9f1c2e3a-71b4-4d5e-8c3a-1a2b3c4d5e6f",
    "start-time": "2026-08-07T14:28:41.102Z",
    "stage": "Homologacao",
    "state": "SUCCEEDED",
    "version": 12.0,
    "pipeline-execution-attempt": 1.0
  }
}

# modules/servico-cadencia/main.tf — chamado uma vez por conta, nunca copiado
#
# Este arquivo nao muda entre dev, homologacao e producao. O que muda entre os
# tres ambientes esta inteiro nos valores passados as variaveis abaixo — nunca
# num bloco de recurso a mais ou a menos.

resource "aws_ecs_task_definition" "servico" {
  family                   = "cadencia-${var.nome_ambiente}"
  requires_compatibilities = ["FARGATE"]
  network_mode             = "awsvpc"
  cpu                      = var.cpu
  memory                   = var.memoria
  execution_role_arn       = var.execution_role_arn
  task_role_arn             = var.task_role_arn

  container_definitions = jsonencode([{
    name      = "api"
    image     = "${var.repositorio_ecr}:${var.tag_imagem}" # a MESMA tag em todo ambiente
    essential = true
    portMappings = [{ containerPort = 8080, protocol = "tcp" }]

    healthCheck = {
      command     = ["CMD-SHELL", "curl -f http://localhost:8080/health/live || exit 1"]
      interval    = 10
      timeout     = 5
      retries     = 3
      startPeriod = 30
    }

    environment = [
      { name = "ASPNETCORE_URLS", value = "http://+:8080" },
      { name = "AMBIENTE", value = var.nome_ambiente },
    ]

    secrets = [{
      name      = "ConnectionStrings__Padrao"
      valueFrom = var.segredo_banco_arn
    }]

    logConfiguration = {
      logDriver = "awslogs"
      options = {
        "awslogs-group"         = "/ecs/cadencia-${var.nome_ambiente}"
        "awslogs-region"        = var.regiao
        "awslogs-stream-prefix" = "api"
      }
    }
  }])
}

resource "aws_ecs_service" "servico" {
  name            = "cadencia-${var.nome_ambiente}"
  cluster         = var.cluster_arn
  task_definition = aws_ecs_task_definition.servico.arn
  desired_count   = var.contagem_desejada # unica diferenca de capacidade entre ambientes
  launch_type     = "FARGATE"

  deployment_minimum_healthy_percent = 100
  deployment_maximum_percent         = 200

  deployment_circuit_breaker {
    enable   = true
    rollback = true
  }

  network_configuration {
    subnets          = var.subnets_privadas
    security_groups  = [var.security_group_id]
    assign_public_ip = false
  }

  load_balancer {
    target_group_arn = aws_lb_target_group.servico.arn
    container_name   = "api"
    container_port   = 8080
  }
}

resource "aws_lb_target_group" "servico" {
  name        = "cadencia-${var.nome_ambiente}"
  port        = 8080
  protocol    = "HTTP"
  vpc_id      = var.vpc_id
  target_type = "ip"

  health_check {
    path                = "/health/ready"
    interval            = 15
    timeout             = 5
    healthy_threshold   = 2
    unhealthy_threshold = 2
    matcher             = "200"
  }

  deregistration_delay = 30
}

# O limiar do alarme MUDA por ambiente (menos ruido em dev, mais rigor em
# producao) — mas o BLOCO existe nos tres, e essa e a diferenca em relacao a
# arquitetura minima, onde o alarme so existia em uma pasta.
resource "aws_cloudwatch_metric_alarm" "erro_5xx_do_alvo" {
  alarm_name          = "cadencia-${var.nome_ambiente}-5xx-alvo"
  namespace           = "AWS/ApplicationELB"
  metric_name         = "HTTPCode_Target_5XX_Count"
  statistic           = "Sum"
  period              = 60
  evaluation_periods  = 2
  threshold           = var.alarme_5xx_limiar
  comparison_operator = "GreaterThanThreshold"
  treat_missing_data  = "notBreaching"

  dimensions = {
    TargetGroup = aws_lb_target_group.servico.arn_suffix
  }

  alarm_actions = [var.topico_alerta_arn]
}

# modules/servico-cadencia/variables.tf — só o que realmente muda por conta

variable "nome_ambiente" {
  type        = string
  description = "dev | hml | prod — entra no nome de todo recurso e na tag AMBIENTE"
}

variable "tag_imagem" {
  type        = string
  description = "SHA do commit; a MESMA em dev, hml e prod dentro de uma promoção"
}

variable "contagem_desejada" {
  type        = number
  description = "1 em dev; 2 em hml e prod — hml espelha prod, dev não precisa"
}

variable "cpu" {
  type = number
}

variable "memoria" {
  type = number
}

variable "alarme_5xx_limiar" {
  type        = number
  description = "20 em dev (ruído tolerado), 10 em hml, 5 em prod (rigor máximo)"
}

# As quatro abaixo vêm do estado do L01/L43 daquela conta especifica — cada
# ambiente tem sua propria VPC, cluster e roles, porque cada um vive numa
# conta diferente. Nao ha valor compartilhado possivel aqui, so passado.
variable "cluster_arn" { type = string }
variable "vpc_id" { type = string }
variable "subnets_privadas" { type = list(string) }
variable "security_group_id" { type = string }
variable "execution_role_arn" { type = string }
variable "task_role_arn" { type = string }
variable "segredo_banco_arn" { type = string }
variable "topico_alerta_arn" { type = string }
variable "repositorio_ecr" { type = string }
variable "regiao" {
  type    = string
  default = "us-east-1"
}

# ambientes/dev/main.tf — a UNICA coisa que muda entre este arquivo e o de
# producao sao os valores abaixo. Compare com ambientes/prod/main.tf: mesma
# forma, backend com key diferente, role diferente, variaveis diferentes.

terraform {
  backend "s3" {
    bucket         = "cadencia-terraform-state-ferramentas" # conta 555555555555
    key            = "cadencia/dev/servico.tfstate"
    region         = "us-east-1"
    dynamodb_table = "cadencia-terraform-lock"
    encrypt        = true
  }
}

provider "aws" {
  region = "us-east-1"

  # O pipeline (rodando na conta de Ferramentas) assume esta role NA CONTA DE
  # DEV para criar recursos la. O backend acima fica na propria conta de
  # Ferramentas e nao precisa de assume_role — só os RECURSOS mudam de conta.
  assume_role {
    role_arn     = "arn:aws:iam::222222222222:role/TerraformAplicaAmbiente"
    session_name = "pipeline-dev"
  }
}

module "servico" {
  source = "../../modules/servico-cadencia"

  nome_ambiente     = "dev"
  tag_imagem        = var.tag_imagem
  contagem_desejada = 1
  cpu               = 256
  memoria           = 512
  alarme_5xx_limiar = 20

  cluster_arn         = data.aws_ecs_cluster.principal.arn
  vpc_id              = data.aws_vpc.principal.id
  subnets_privadas    = data.aws_subnets.privadas.ids
  security_group_id   = data.aws_security_group.tarefa.id
  execution_role_arn  = data.aws_iam_role.execucao.arn
  task_role_arn       = data.aws_iam_role.tarefa.arn
  segredo_banco_arn   = data.aws_secretsmanager_secret.banco.arn
  topico_alerta_arn   = data.aws_sns_topic.alertas.arn
  repositorio_ecr     = "555555555555.dkr.ecr.us-east-1.amazonaws.com/cadencia-api"
}

$ diff -u ambientes/dev/main.tf ambientes/prod/main.tf
--- ambientes/dev/main.tf
+++ ambientes/prod/main.tf
@@ -6,7 +6,7 @@
 terraform {
   backend "s3" {
     bucket         = "cadencia-terraform-state-ferramentas"
-    key            = "cadencia/dev/servico.tfstate"
+    key            = "cadencia/prod/servico.tfstate"
     region         = "us-east-1"
     dynamodb_table = "cadencia-terraform-lock"
     encrypt        = true
@@ -16,18 +16,18 @@
 provider "aws" {
   region = "us-east-1"
   assume_role {
-    role_arn     = "arn:aws:iam::222222222222:role/TerraformAplicaAmbiente"
-    session_name = "pipeline-dev"
+    role_arn     = "arn:aws:iam::333333333333:role/TerraformAplicaAmbiente"
+    session_name = "pipeline-prod"
   }
 }

 module "servico" {
   source = "../../modules/servico-cadencia"

-  nome_ambiente     = "dev"
+  nome_ambiente     = "prod"
   tag_imagem        = var.tag_imagem
-  contagem_desejada = 1
-  cpu               = 256
-  memoria           = 512
-  alarme_5xx_limiar = 20
+  contagem_desejada = 2
+  cpu               = 512
+  memoria           = 1024
+  alarme_5xx_limiar = 5

# Zero linhas de bloco de recurso adicionadas ou removidas. Toda a diferença
# está em VALOR — key do backend, conta assumida, nome do ambiente e as
# quatro variáveis de capacidade. É essa a prova de "diff estrutural zero"
# que a seção de implantação mede com a ferramenta em C# a seguir.

# ambientes/dev/iam.tf — a role que a conta de Ferramentas pode assumir AQUI,
# e só aqui. Repetida (com o account_id do principal trocado) nas pastas de
# hml e prod — é infraestrutura de conta, não do módulo, por isso não entra
# em modules/servico-cadencia.

data "aws_iam_policy_document" "confianca_pipeline" {
  statement {
    effect  = "Allow"
    actions = ["sts:AssumeRole"]

    principals {
      type = "AWS"
      # Só a role de execução do pipeline, na conta de Ferramentas — nunca a
      # conta inteira. É a mesma lição de menor privilégio do L41, aplicada
      # à fronteira entre contas em vez de à fronteira dentro de uma conta.
      identifiers = ["arn:aws:iam::555555555555:role/PipelinePromocaoCadencia"]
    }

    # Sem isto, qualquer serviço com permissão de assumir role na conta de
    # Ferramentas poderia se passar pelo pipeline. O external ID é o mesmo
    # valor nos três ambientes — é o pipeline, não a distinção entre eles,
    # que este condition confirma.
    condition {
      test     = "StringEquals"
      variable = "sts:ExternalId"
      values   = [var.id_externo_pipeline]
    }
  }
}

resource "aws_iam_role" "terraform_aplica_ambiente" {
  name               = "TerraformAplicaAmbiente"
  assume_role_policy = data.aws_iam_policy_document.confianca_pipeline.json

  # 4 horas: o suficiente para o apply mais lento observado (RDS, quando este
  # ambiente tiver um) mais folga; não o teto de 12h que a role permitiria.
  max_session_duration = 14400
}

# Escopo por RECURSO com nome previsível, nunca por serviço inteiro. Uma
# policy "AmazonECS_FullAccess" nesta role tornaria o pipeline capaz de tocar
# clusters e serviços que este módulo nunca criou.
data "aws_iam_policy_document" "aplica_servico_cadencia" {
  statement {
    sid    = "GerenciaRecursosDoServico"
    effect = "Allow"
    actions = [
      "ecs:DescribeServices", "ecs:UpdateService", "ecs:RegisterTaskDefinition",
      "elasticloadbalancing:DescribeTargetGroups", "elasticloadbalancing:ModifyTargetGroup",
      "cloudwatch:PutMetricAlarm", "cloudwatch:DescribeAlarms",
    ]
    resources = ["*"]
    # As seis ações acima não têm variação de ARN que restrinja por "nome
    # começa com cadencia-": describe/update de serviço ECS aceita o ARN do
    # SERVIÇO, mas registrar uma nova revisão de task definition é, na API,
    # uma ação de FAMÍLIA sem recurso anterior a apontar. Restringir por
    # prefixo de nome aqui repetiria o erro exato que o L43 mediu — um
    # wildcard de string que parece filtro e não é. A fronteira real está na
    # SCP da OU (L43) e no fato de esta role só existir nesta conta.
  }
}

resource "aws_iam_role_policy" "aplica_servico_cadencia" {
  role   = aws_iam_role.terraform_aplica_ambiente.id
  policy = data.aws_iam_policy_document.aplica_servico_cadencia.json
}

// VerificadorDrift/Program.cs — compara a FORMA de dois planos, não os valores
//
// Roda "terraform show -json" sobre um plano salvo de cada ambiente e extrai,
// por recurso, o tipo e o CONJUNTO DE CHAVES do bloco de valores — nunca o
// valor em si. Dois ambientes com contagem_desejada = 1 e = 2 têm o mesmo
// conjunto de chaves; só o valor mudou, e é exatamente isso que este
// verificador ACEITA. O que ele reprova é recurso presente num plano e
// ausente no outro, ou uma chave nova que só existe numa cópia.

using System.Text.Json;

if (args.Length != 2)
{
    Console.Error.WriteLine("uso: VerificadorDrift <plano-a.json> <plano-b.json>");
    return 2;
}

var chavesA = ExtrairAssinaturaEstrutural(args[0]);
var chavesB = ExtrairAssinaturaEstrutural(args[1]);

var somenteEmA = chavesA.Except(chavesB).OrderBy(x => x).ToList();
var somenteEmB = chavesB.Except(chavesA).OrderBy(x => x).ToList();

if (somenteEmA.Count == 0 && somenteEmB.Count == 0)
{
    Console.WriteLine($"OK: diff estrutural zero entre {args[0]} e {args[1]} " +
                       $"({chavesA.Count} assinaturas comparadas)");
    return 0;
}

Console.WriteLine($"DRIFT ESTRUTURAL: {somenteEmA.Count + somenteEmB.Count} diferença(s)");
foreach (var linha in somenteEmA) Console.WriteLine($"  só em {args[0]}: {linha}");
foreach (var linha in somenteEmB) Console.WriteLine($"  só em {args[1]}: {linha}");
return 1;

// Assinatura = "tipo_do_recurso.endereco#chave", uma por chave do bloco de
// valores planejados. Ignora os VALORES de propósito — só a forma importa.
static HashSet<string> ExtrairAssinaturaEstrutural(string caminhoPlano)
{
    using var stream = File.OpenRead(caminhoPlano);
    using var doc = JsonDocument.Parse(stream);

    var assinaturas = new HashSet<string>();
    var recursos = doc.RootElement
        .GetProperty("planned_values")
        .GetProperty("root_module")
        .GetProperty("resources")
        .EnumerateArray();

    foreach (var recurso in recursos)
    {
        var tipo = recurso.GetProperty("type").GetString();
        var endereco = recurso.GetProperty("address").GetString();

        foreach (var chave in recurso.GetProperty("values").EnumerateObject())
        {
            assinaturas.Add($"{tipo}.{endereco}#{chave.Name}");
        }
    }

    return assinaturas;
}

# provas.sh — cinco medições; nenhuma conclusão vem de "as três contas parecem iguais"

# ── Prova 1: o diff estrutural entre dev e prod é zero ───────────────────────
terraform -chdir=ambientes/dev  plan -out=/tmp/plano-dev.tfplan
terraform -chdir=ambientes/dev  show -json /tmp/plano-dev.tfplan  > /tmp/plano-dev.json
terraform -chdir=ambientes/prod plan -out=/tmp/plano-prod.tfplan
terraform -chdir=ambientes/prod show -json /tmp/plano-prod.tfplan > /tmp/plano-prod.json
dotnet run --project VerificadorDrift -- /tmp/plano-dev.json /tmp/plano-prod.json
# Esperado: "OK: diff estrutural zero". Qualquer linha "só em" reprova a prova.

# ── Prova 2: a mesma tag de imagem está nas três contas ──────────────────────
for ambiente in dev hml prod; do
  aws ecs describe-task-definition \
    --task-definition "cadencia-${ambiente}" --profile "${ambiente}" \
    --query 'taskDefinition.containerDefinitions[0].image' --output text
done
# Esperado: as três linhas terminam no MESMO SHA depois de uma promoção completa.

# ── Prova 3: aplicar em produção com a credencial de dev falha ───────────────
AWS_PROFILE=dev terraform -chdir=ambientes/prod plan
# Esperado: erro ao assumir arn:...:333333333333:role/TerraformAplicaAmbiente —
# a role de dev não está na lista de principals confiáveis da role de prod.

# ── Prova 4: o lock impede dois apply simultâneos no mesmo ambiente ──────────
( terraform -chdir=ambientes/hml apply -auto-approve & )
sleep 2
terraform -chdir=ambientes/hml apply -auto-approve
# Esperado: o segundo comando espera ou falha com "Error acquiring the state
# lock", citando o mesmo LockID — nunca os dois aplicam ao mesmo tempo.

# ── Prova 5: o estado de cada ambiente está isolado do das outras contas ─────
aws s3api get-object --bucket cadencia-terraform-state-ferramentas \
  --key cadencia/dev/servico.tfstate /tmp/estado-dev.json --profile ferramentas
python3 -c "import json; d=json.load(open('/tmp/estado-dev.json')); \
  print([r['type'] for r in d['resources'] if 'prod' in str(r.get('instances'))])"
# Esperado: lista vazia — nenhum recurso de produção aparece no estado de dev.

# limpar.sh — o destroy tem de rodar TRÊS vezes, uma por diretório

for ambiente in dev hml prod; do
  echo "destruindo ${ambiente}..."
  terraform -chdir="ambientes/${ambiente}" destroy -auto-approve
done

# 1. O BUCKET DE ESTADO sobrevive aos três destroy — ele não pertence a
#    nenhum dos três, mora na conta de Ferramentas e guarda o HISTÓRICO.
#    Versionamento ligado significa que apagar o objeto não apaga as versões
#    antigas; elas continuam cobrando armazenamento até uma política de ciclo
#    de vida do bucket as expirar.
aws s3api list-object-versions \
  --bucket cadencia-terraform-state-ferramentas --prefix cadencia/ \
  --query 'Versions[].Key' --output table --profile ferramentas

# 2. A TABELA DE LOCK fica vazia, mas continua existindo e cobrando por
#    capacidade provisionada, se não estiver em modo sob demanda.
aws dynamodb describe-table --table-name cadencia-terraform-lock \
  --profile ferramentas --query 'Table.BillingModeSummary.BillingMode'

# 3. AS ROLES TerraformAplicaAmbiente nas três contas não saem com o destroy
#    do módulo de aplicação — elas foram criadas por um Terraform separado
#    (iam.tf, por conta). Uma role órfã com confiança na conta de Ferramentas
#    é superfície de ataque que ninguém está mais olhando.
for ambiente in dev hml prod; do
  aws iam get-role --role-name TerraformAplicaAmbiente --profile "${ambiente}" \
    --query 'Role.Arn' --output text
done

# 4. O REPOSITÓRIO ECR não pertence a nenhum dos três ambientes — ele é
#    compartilhado (L54) e sobrevive de propósito, mesmo destruindo os três.

# 5. Prova final: nenhum objeto de estado sem o destroy correspondente.
aws s3 ls s3://cadencia-terraform-state-ferramentas/cadencia/ --recursive \
  --profile ferramentas