#!/usr/bin/env bash
# set -euo pipefail:
#   -e: コマンドが失敗した場合に即座に終了する
#   -u: 未定義の変数を使用した場合にエラーとする
#   -o pipefail: パイプライン中の任意のコマンドが失敗した場合にエラーとする
set -euo pipefail

# 一時ディレクトリの作成とクリーンアップ
# mktemp -d: 安全な一時ディレクトリを作成する
# trap 'rm -rf "$TF_TMPDIR"' EXIT: スクリプト終了時に一時ディレクトリを自動削除
TF_TMPDIR=$(mktemp -d -t tf-iac-XXXXXXXXXX)
trap 'rm -rf "$TF_TMPDIR"' EXIT

echo "INFO: 一時ディレクトリ: $TF_TMPDIR"
cd "$TF_TMPDIR"

# Terraform設定ファイルの作成 (例: S3バケット)
cat <<EOF > main.tf
provider "aws" {
  region = "ap-northeast-1"
}

resource "aws_s3_bucket" "example" {
  bucket = "my-unique-terraform-bucket-$(date +%s)" # ユニークなバケット名を生成
  acl    = "private"
  tags = {
    Environment = "Dev"
    ManagedBy   = "Terraform"
  }
}

output "s3_bucket_name" {
  value = aws_s3_bucket.example.bucket
}

output "s3_bucket_arn" {
  value = aws_s3_bucket.example.arn
}
EOF

echo "INFO: Terraform初期化を開始します。"
if ! terraform init -backend=false > /dev/null; then
    echo "ERROR: Terraform initが失敗しました。" >&2
    exit 1
fi

echo "INFO: Terraform planを実行します。"
if ! terraform plan -out=tfplan.out; then
    echo "ERROR: Terraform planが失敗しました。" >&2
    exit 1
fi

# Terraform planの結果をJSONで取得し、jqで解析する例
echo "INFO: Terraform planの出力をjqで解析します。"
PLAN_JSON=$(terraform show -json tfplan.out)
if ! BUCKET_NAME_PLAN=$(echo "$PLAN_JSON" | jq -r '.resource_changes[] | select(.type=="aws_s3_bucket") | .change.after.bucket'); then
    echo "ERROR: jqによるplan出力の解析が失敗しました。" >&2
    exit 1
fi
echo "INFO: 提案されたS3バケット名: $BUCKET_NAME_PLAN"

# 外部サービスの健全性チェック (curlのTLS/再試行/バックオフ)
# --fail: HTTPステータスが200番台以外の場合にエラーを返す
# --retry, --retry-delay: 失敗時に再試行する設定
# --cacert: CA証明書のパスを指定し、TLS接続のセキュリティを強化
echo "INFO: 外部APIの健全性チェックを開始します。(例: https://api.example.com/health)"
MAX_RETRIES=5
RETRY_DELAY=10
for i in $(seq 1 $MAX_RETRIES); do
    if curl -sS --show-error --fail --retry 3 --retry-delay 5 --cacert /etc/ssl/certs/ca-certificates.crt https://api.example.com/health; then
        echo "INFO: 外部APIは正常です。"
        break
    else
        echo "WARN: 外部APIチェックに失敗しました。$RETRY_DELAY秒後に再試行します... (試行 $i/$MAX_RETRIES)" >&2
        sleep "$RETRY_DELAY"
    fi
    if [ "$i" -eq "$MAX_RETRIES" ]; then
        echo "ERROR: 外部APIチェックが$MAX_RETRIES回の試行後に失敗しました。" >&2
        exit 1
    fi
done

echo "INFO: Terraform applyを実行します。"
if ! terraform apply -auto-approve tfplan.out; then
    echo "ERROR: Terraform applyが失敗しました。" >&2
    exit 1
fi

# Terraform outputの取得とjqでの解析
echo "INFO: Terraform outputを取得し、jqで解析します。"
OUTPUT_JSON=$(terraform output -json)
if ! S3_BUCKET_NAME=$(echo "$OUTPUT_JSON" | jq -r '.s3_bucket_name.value'); then
    echo "ERROR: jqによるoutput出力の解析が失敗しました。" >&2
    exit 1
fi
if ! S3_BUCKET_ARN=$(echo "$OUTPUT_JSON" | jq -r '.s3_bucket_arn.value'); then
    echo "ERROR: jqによるoutput出力の解析が失敗しました。" >&2
    exit 1
fi

echo "INFO: プロビジョニングされたS3バケット名: $S3_BUCKET_NAME"
echo "INFO: プロビジョニングされたS3バケットARN: $S3_BUCKET_ARN"

# AWS CLIでS3バケットの存在確認
echo "INFO: AWS CLIでS3バケットの存在を確認します。"
if aws s3api head-bucket --bucket "$S3_BUCKET_NAME" > /dev/null 2>&1; then
    echo "INFO: S3バケット '$S3_BUCKET_NAME' が正常に存在します。"
else
    echo "ERROR: S3バケット '$S3_BUCKET_NAME' が存在しません。" >&2
    exit 1
fi

echo "INFO: スクリプトが正常に完了しました。"

sudo install -m 755 -o root -g root terraform_plan_script.sh /usr/local/bin/

[Unit]
Description=Run Terraform plan and report differences
After=network-online.target
Requires=network-online.target

[Service]
# Type=oneshot: コマンド実行後に終了するサービスタイプ
Type=oneshot
# User/Group: スクリプトを実行する専用ユーザーとグループを指定
# これによりroot権限でのTerraform操作を防ぎ、権限分離を実現します。
# 事前に `sudo useradd -M -s /sbin/nologin terraform_user` などでユーザー作成が必要です。
User=terraform_user
Group=terraform_user
# WorkingDirectory: Terraformプロジェクトのルートディレクトリを指定
WorkingDirectory=/opt/terraform/projects/myproject # 実際のパスに置き換える
# ExecStart: 実行するスクリプトのパス
ExecStart=/usr/local/bin/terraform_plan_script.sh
# StandardOutput/Error: ログをjournaldにリダイレクト
StandardOutput=journal
StandardError=journal
# 環境変数を設定する場合 (例: AWS_REGION)
# Environment="AWS_REGION=ap-northeast-1"
# AWS認証情報は、専用ユーザーの ~/.aws/credentials に配置するか、IAMロールを推奨します。

[Unit]
Description=Run Terraform plan check every day

[Timer]
# OnCalendar: 毎日実行されるように設定
OnCalendar=daily
# Persistent=true: システム再起動後に、前回の実行がスキップされていた場合に即座に実行する
Persistent=true
# RandomSec: 指定された時間内 (例: 5分) でランダムな遅延を加えることで、同時実行を避ける
RandomSec=300

[Install]
# WantedBy=timers.target: システム起動時にタイマーが有効化されるようにする
WantedBy=timers.target