Aprimorando o script

Author: JJDSNT

scripts/README.md

@@ -0,0 +1,73 @@
+# Auditoria de Recursos GCP com Terraform
+
+Este diretório contém utilitários para auditoria da infraestrutura GCP e validação de consistência com o que está sob gerenciamento do Terraform.
+
+---
+
+## 📜 Script principal
+
+### `verificar_orfaos.sh`
+
+Realiza as seguintes auditorias automatizadas:
+
+1. **Recursos órfãos** (via Cloud Asset Inventory)
+2. **Service Accounts (SAs)** sem `labels.provisioned_by`
+3. **IAM bindings** com Service Accounts
+
+Gera arquivos de saída JSON e CSV para análise detalhada ou integração com CI.
+
+---
+
+## 🚀 Como usar
+
+### Execução padrão:
+
+```bash
+./verificar_orfaos.sh
+```
+## 📦 Uso avançado
+
+### 🔀 Com projeto diferente:
+
+```bash
+PROJECT_ID=meu-outro-projeto ./verificar_orfaos.sh
+```
+### ⚡ Modo rápido para CI/CD:
+```bash
+./verificar_orfaos.sh --summary
+```
+
+### 📁 Estrutura dos arquivos gerados (`output/`)
+
+| Arquivo                                | Conteúdo                                               |
+|----------------------------------------|--------------------------------------------------------|
+| all-assets.json                        | Todos os recursos do projeto via `gcloud asset`        |
+| possible-orphans.json                  | Recursos sem `labels.provisioned_by` esperadas         |
+| possible-orphans.csv                   | Versão CSV resumida dos órfãos                         |
+| iam-service-accounts.json              | Todas as Service Accounts do projeto                   |
+| iam-service-account-orphans.json       | SAs sem `provisioned_by` definido                      |
+| iam-bindings.json                      | IAM policy completa do projeto                         |
+| iam-bindings-service-accounts.json     | Apenas bindings com `serviceAccount:` como membro      |
+
+
+### 🧠 Como interpretar os resultados
+
+- Recursos ou SAs sem `labels.provisioned_by` são considerados **potencialmente órfãos**
+- Bindings IAM com service accounts são listados para conferência com o código Terraform
+- Use os arquivos `.csv` para relatórios ou automações
+
+
+### 📌 Requisitos
+gcloud autenticado com permissão de leitura no projeto
+
+jq instalado (sudo apt install jq ou brew install jq)
+
+### ✅ Sugestão de .gitignore
+<pre><code> output/ </code></pre>
+
+### ✨ Próximos passos (opcional)
+Validar se os bindings IAM estão todos sob controle do Terraform
+
+Usar terraform state list para cruzar com os recursos GCP
+
+Automatizar alertas em CI se órfãos forem detectados

scripts/verificar_orfaos.sh

@@ -15,7 +15,6 @@ else
 fi
 
 PROJECT_ID="${PROJECT_ID:-${1:-observatudo-infra}}"
-
 EXPECTED_LABELS=(${EXPECTED_LABELS[@]:-infra-base dns-zones-observatudo observatudo-www-app})
 
 # === 📂 Diretório de saída ===
@@ -27,34 +26,63 @@ ALL_ASSETS_FILE="$OUTPUT_DIR/all-assets.json"
 ORPHANS_FILE="$OUTPUT_DIR/possible-orphans.json"
 CSV_FILE="$OUTPUT_DIR/possible-orphans.csv"
 
-# === 🛰️ Coleta de dados ===
+# === 🛰️ Coleta de dados gerais (Asset Inventory) ===
 echo -e "${YELLOW}📦 Coletando todos os recursos do projeto: $PROJECT_ID...${NC}"
 gcloud asset search-all-resources --project="$PROJECT_ID" --format=json > "$ALL_ASSETS_FILE"
 
-# === 🧠 Filtro de órfãos ===
+# === 🧠 Filtro de órfãos (sem labels ou labels inválidos) ===
 echo -e "${YELLOW}🔍 Filtrando recursos órfãos (sem label 'provisioned_by' ou valor inesperado)...${NC}"
-
 jq --argjson expected_labels "$(printf '%s\n' "${EXPECTED_LABELS[@]}" | jq -R . | jq -s .)" '
   map(select(
     (.labels.provisioned_by == null) or
     (.labels.provisioned_by != null and (.labels.provisioned_by as $val | $expected_labels | index($val) | not))
   ))
 ' "$ALL_ASSETS_FILE" > "$ORPHANS_FILE"
 
-# === 📊 Resumo ===
 COUNT=$(jq length "$ORPHANS_FILE")
 echo -e "${GREEN}✅ Resultado salvo em: $ORPHANS_FILE${NC}"
 echo -e "${YELLOW}⚠️  Recursos órfãos encontrados: $COUNT${NC}"
 
 echo -e "${YELLOW}📊 Tipos de recursos órfãos:${NC}"
 jq '.[].assetType' "$ORPHANS_FILE" | sort | uniq -c
 
-# === 📄 Geração de CSV ===
 jq -r '.[] | [.assetType, .name] | @csv' "$ORPHANS_FILE" > "$CSV_FILE"
 echo -e "${GREEN}📄 CSV gerado em: $CSV_FILE${NC}"
 
-# === ✅ Modo resumo para CI ou pipelines ===
+# === ✅ Modo resumo termina aqui ===
 if [[ "$SUMMARY_MODE" == true ]]; then
   exit 0
 fi
 
+# === 🔐 Auditoria de Service Accounts ===
+SA_FILE="$OUTPUT_DIR/iam-service-accounts.json"
+SA_ORPHANS_FILE="$OUTPUT_DIR/iam-service-account-orphans.json"
+
+echo -e "${YELLOW}🔍 Coletando todas as Service Accounts...${NC}"
+gcloud iam service-accounts list --project="$PROJECT_ID" --format=json > "$SA_FILE"
+
+jq '
+  map(select(
+    (.labels == null) or (.labels.provisioned_by == null)
+  ))
+' "$SA_FILE" > "$SA_ORPHANS_FILE"
+
+SA_ORPHANS_COUNT=$(jq length "$SA_ORPHANS_FILE")
+echo -e "${YELLOW}⚠️  Service Accounts sem 'provisioned_by': $SA_ORPHANS_COUNT${NC}"
+echo -e "${GREEN}📄 Detalhes salvos em: $SA_ORPHANS_FILE${NC}"
+
+# === 🔐 Auditoria de IAM bindings com Service Accounts ===
+IAM_BINDINGS_FILE="$OUTPUT_DIR/iam-bindings.json"
+IAM_SA_BINDINGS_FILE="$OUTPUT_DIR/iam-bindings-service-accounts.json"
+
+echo -e "${YELLOW}🔍 Coletando todos os IAM bindings do projeto...${NC}"
+gcloud projects get-iam-policy "$PROJECT_ID" --format=json > "$IAM_BINDINGS_FILE"
+
+jq '
+  .bindings
+  | map(select(.members[]? | startswith("serviceAccount:")))
+' "$IAM_BINDINGS_FILE" > "$IAM_SA_BINDINGS_FILE"
+
+IAM_SA_BINDINGS_COUNT=$(jq length "$IAM_SA_BINDINGS_FILE")
+echo -e "${YELLOW}⚠️  Total de papéis atribuídos a service accounts: $IAM_SA_BINDINGS_COUNT${NC}"
+echo -e "${GREEN}📄 Bindings com SAs salvos em: $IAM_SA_BINDINGS_FILE${NC}"