- Workflows estão em
.github/workflowsna raiz do repositório do aluno. - Pull requests executam testes e validação Terraform.
- A trust policy limita conta, audience, repositório e branch.
- Não existem chaves AWS nos secrets ou arquivos.
- O environment de deploy exige aprovação.
- O apply usa exatamente o plan criado na execução.
- Deploys concorrentes estão bloqueados.
- Evidências foram sanitizadas.
- O rollback foi descrito e testado sem improviso.