HCP Terraform: workspaces, VCS y governance

# Configurar workspace con VCS en HCP Terraform:
# 1. Conectar el VCS provider (GitHub App, GitLab, Azure DevOps)
# 2. En el workspace: Settings → Version Control
# 3. Seleccionar repositorio y rama a monitorear

# En el código, conectar con bloque cloud:
terraform {
  cloud {
    organization = "mi-empresa"
    workspaces {
      name = "prod-infra"  # workspace conectado al repo
    }
  }
}

# Para runs locales (sin VCS, iniciados desde CLI):
# terraform plan  → ejecuta en agentes HCP pero iniciado localmente

# Leer outputs de otro workspace (terraform_remote_state)
data "terraform_remote_state" "networking" {
  backend = "remote"
  config = {
    organization = "mi-empresa"
    workspaces = {
      name = "prod-networking"
    }
  }
}

# Usar los outputs del workspace de networking:
resource "aws_instance" "app" {
  subnet_id = data.terraform_remote_state.networking.outputs.private_subnet_id
}

# Ejemplo de política Sentinel
# Requiere que todos los recursos tengan el tag "Environment"
import "tfplan/v2" as tfplan

# Obtener todos los recursos del plan
all_resources = filter tfplan.resource_changes as _, resource_change {
  resource_change.mode is "managed" and
  (resource_change.change.actions contains "create" or
   resource_change.change.actions contains "update")
}

# Verificar que tienen el tag requerido
has_env_tag = rule {
  all all_resources as _, resource {
    resource.change.after.tags["Environment"] is not null
  }
}

# La política se cumple si la regla es verdadera
main = rule { has_env_tag }