sh0_add https://blog.hatena.ne.jp/sh0_add/ 定時ラボ https://tech-sh0.hatenablog.com/ インフラ実務 インフラをコードで書くとき、他人が公開した部品を取ってきて使うことがあります。 Terraformでいうモジュールです。 その部品が取ってきたときのまま手元にあるかどうか、あとから確かめられるでしょうか。 私は確かめようとして、途中で手が止まりました。 .terraform.lock.hclが記録しているのはプロバイダ(AWSやAzureなど、対象サービスを操作するためのプラグイン)だけです。 モジュールについて残るのは、取得元とバージョンと置き場所だけでした。 内容そのものを照合できる値は、どこにもありません。 きっかけは、2026年9月1日に公開された1本のセキュリティアドバイザリです。 … 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Ftech-sh0.hatenablog.com%2Fentry%2F2026%2F09%2F04%2F134626" title="Terraformのロックファイルはモジュールを守らない｜悪性モジュールが14時間だけ配られた事故を機に、何をどこから取ったか手元の証跡で確かめた - 定時ラボ" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> https://cdn-ak.f.st-hatena.com/images/fotolife/s/sh0_add/20260904/20260904133059.png Hatena Blog https://hatena.blog 2026-09-04 13:46:26 rich https://tech-sh0.hatenablog.com/entry/2026/09/04/134626 1.0 100%