Terraformコードレビュースキルを作って Claude Code GitHub Actions で Pull Request を自動レビューしてみた

• URL: https://dev.classmethod.jp/articles/terraform-review-skill-claude-code-github-actions
• 日付: 2026-06-24
• Tier: Tier 2
• 要旨: Claude Code のカスタムスキルを使用して Terraform のコードレビューを GitHub Actions で自動化する方法を紹介している。スキル側に HashiCorp 公式ガイドとセキュリティ・スタイル知識を全て埋め込み、重大度は HIGH・MEDIUM・LOW の3段階で分類。ローカル検証後、GitHub Actions ワークフローで PR の差分をレビューし、指摘をインラインコメント、全体サマリをトップレベルコメントで投稿する実装を示している。コスト約 0.55 ドル/実行。

詳細

スキルは .claude/skills/terraform-review/ に配置し、SKILL.md でレビュー作業手順を定義。重大度の基準は本番実害（漏えい・全公開・データ消失・権限過剰）を HIGH、ベストプラクティス違反で事故時影響が大きいものを MEDIUM、規約・可読性・保守性違反を LOW と固定している。出力は1行サマリの後、重大度順に整列し、修正例は最小 diff で示す指示を与えた。

検証例では SSH 22 番ポートの 0.0.0.0/0 全開放を HIGH と検出、SSM Session Manager 経由への変更を提案。仕込んだ全問題（IMDSv2 未強制、ルート EBS 非暗号化、リージョンハードコード、Name タグ欠落等）を重大度どおりに検出。

GitHub Actions ワークフロー（actions/checkout + anthropics/claude-code-action）は PR 開時・同期時に走行、terraform-review スキルを呼び出してレビュー実行。指摘は mcp__github_inline_comment__create_inline_comment で該当行へ、全体サマリは gh pr comment でコメント投稿。認証は API キーまたは OAuth で対応可能。所要時間約4分、モデルは claude-sonnet-4-6。

詰まり点はコメント投稿ツール許可漏れ。permission_denials_count で拒否回数が増加していたため claude-execution-output.json を artifact 保存し tool_use を確認して原因特定した。