Terraform ganha tfpolicy, framework nativo de policy as code em HCL

A HashiCorp apresentou o tfpolicy, um novo framework de policy as code baseado em HCL para o Terraform, segundo reportagem da InfoQ. A ferramenta está disponível em beta público dentro do HCP Terraform e foi desenhada para integrar criação e aplicação de políticas diretamente aos fluxos de trabalho do Terraform, dispensando ferramentas e linguagens separadas.

O que muda em relação a Sentinel e OPA

Até agora, quem precisava codificar regras de governança no ecossistema Terraform recorria principalmente ao HashiCorp Sentinel, com sua linguagem de domínio específico, ou ao Open Policy Agent (OPA), solução open source e vendor-agnostic com mais de 100 integrações. Segundo a HashiCorp, essas abordagens operam como camadas separadas que validam a infraestrutura contra regras de política, mas frequentemente falham em incorporar contexto externo importante, como as relações entre recursos, que podem mudar ao longo do ciclo de vida da infraestrutura.

O tfpolicy usa HCL, a mesma linguagem com que se define infraestrutura no Terraform. Na prática, isso reduz a troca de contexto: a equipe define e aplica políticas dentro do mesmo fluxo que já usa no dia a dia, sem aprender uma DSL à parte.

Novas capacidades

Além da integração, o tfpolicy traz recursos que não existiam nas soluções anteriores:

• Avaliação baseada em relações entre recursos, e não apenas em recursos isolados.
• Data source lookups, para incorporar contexto externo ao processo de enforcement.
• Controle de downloads de providers e módulos, endereçando riscos de cadeia de suprimento. Segundo a HashiCorp, isso permite "estabelecer controles de dependências aprovadas e evitar o uso acidental de providers ou módulos não aprovados".
• Avaliação de políticas após o deploy, permitindo detectar violações que só ficam visíveis depois que os recursos foram provisionados.

Esse último ponto é relevante: a integração profunda com o Terraform permite avaliar políticas com base no estado real da infraestrutura, não apenas nas mudanças planejadas, antes e depois do deployment.

CLI limitada, poder pleno no HCP Terraform

Um detalhe importante para quem for avaliar a ferramenta: o tfpolicy só entrega suas capacidades completas dentro do HCP Terraform, onde se integra ao fluxo ponta a ponta, com enforcement durante planejamento, deploy e avaliação pós-deploy. A CLI standalone é mais limitada, servindo sobretudo para validação de políticas e testes locais. É útil para desenvolvimento e iteração, mas não oferece o mesmo nível de integração, automação e enforcement do ambiente gerenciado.

A HashiCorp afirma que vai continuar dando suporte ao Sentinel, mas posiciona o tfpolicy como seu framework de política preferido. A empresa também está introduzindo um agente de IA capaz de gerar e testar configurações tfpolicy, além de converter políticas Sentinel existentes.

O que isso significa para times brasileiros

Para equipes de plataforma e SRE no Brasil que já operam com Terraform, o tfpolicy reduz a dependência de camadas de terceiros para governança, um ponto sensível em setores regulados como bancos e fintechs, onde compliance de infraestrutura é auditável. Escrever políticas na mesma linguagem da infraestrutura pode diminuir a curva de aprendizado em times menores, que muitas vezes não têm gente dedicada a manter regras em Sentinel ou Rego (a linguagem do OPA).

Vale, porém, pesar a amarração ao HCP Terraform: como o enforcement completo depende do ambiente gerenciado, quem usa Terraform open source com pipelines próprios (cenário comum por aqui para reduzir custos) fica com a versão CLI mais limitada. Para essas equipes, o OPA, por ser vendor-agnostic e open source, segue como alternativa a considerar. A migração de políticas Sentinel via agente de IA também merece validação cuidadosa antes de ir para produção.

Por ora, o tfpolicy está em beta público. Times interessados podem começar testando localmente pela CLI antes de decidir sobre adoção no fluxo gerenciado.

Fonte: InfoQ