ポリシーアズコード ぽりしーあずこーど
簡単に言うとこんな感じ！
「このシステムにはこういうルールを守らせる」という会社のポリシーを、人間が読む規則書じゃなくてプログラムのコードとして書いておく仕組みだよ。コードにしておくと、ルールのチェックが自動化できて、人為ミスや「なんとなく見逃し」がなくなるってこと！
ポリシーアズコードとは
ポリシーアズコード（Policy as Code / PaC） とは、セキュリティ要件・コンプライアンス規定・アクセス権限ルールといった「組織のポリシー（方針・規則）」を、人間が読む文書ではなく機械が実行できるコード（プログラム）として記述・管理する手法のことです。たとえば「本番環境のストレージには必ず暗号化を有効にする」「インターネットに直接さらされるサーバーは作ってはいけない」といったルールをコードで表現し、システム構築のたびに自動でチェック・強制適用できるようにします。
この考え方は、インフラの構成をコードで管理する Infrastructure as Code（IaC） の考え方を「ルール・ポリシー」の領域にも広げたものです。従来は「セキュリティチェックリストを手動で確認する」「監査のたびに担当者がExcelを見る」といった運用が主流でしたが、それでは人的ミス・チェック漏れ・属人化という問題が避けられませんでした。ポリシーアズコードはその課題を解決します。
クラウドやDevOpsの普及で、システムの変更頻度が劇的に上がった現代では、人間が手作業でポリシーを守り続けることは事実上不可能です。ポリシーをコードにすることで、開発・デプロイのパイプラインに組み込み、変更のたびに自動でポリシー違反を検知・ブロックできるようになります。
ポリシーアズコードの仕組みと構造
ポリシーアズコードは「ルールを書く → 自動でチェックする → 違反を止める or 通知する」という流れで機能します。
| フェーズ | 内容 | 具体例 |
|---|---|---|
| ポリシー記述 | ルールをコードとして定義 | 「S3バケットは公開禁止」をRegoやYAMLで記述 |
| 評価（Evaluate） | リソースの設定とポリシーを照合 | Terraform実行前にOPAが設定ファイルをチェック |
| 強制（Enforce） | 違反があれば処理をブロック | CI/CDパイプラインが止まる／デプロイ拒否 |
| 監査（Audit） | 現状の違反状況をレポート | 既存リソースを定期スキャンして違反一覧を出力 |
| 修正（Remediate） | 自動で正しい状態に戻す | 違反リソースを自動で設定変更・削除 |
ポリシーアズコードを支える主なツール
| ツール名 | 特徴 | 主な用途 |
|---|---|---|
| OPA（Open Policy Agent） | 汎用ポリシーエンジン。Regoという言語でルールを記述 | Kubernetes・APIゲートウェイ・Terraform |
| Conftest | OPAベース。設定ファイル（YAML/JSON等）をテスト | CI/CDでのIaC検証 |
| Sentinel | HashiCorpが提供。Terraformと密に連携 | クラウドインフラのポリシー強制 |
| AWS Config Rules | AWSネイティブ。AWSリソースの設定を監視 | AWSのコンプライアンス管理 |
| Checkov | Pythonベース。Terraform/CloudFormationを静的解析 | セキュリティ設定ミスの検出 |
| Kyverno | Kubernetes専用。YAMLでポリシーを記述 | Kubernetesのガバナンス |
覚え方
「ポリシーも、コードもGit管理」と覚えよう。コードと同じようにバージョン管理・レビュー・テストができるのがポリシーアズコードの本質。ルールの変更履歴が残り、誰がいつ何を変えたか追跡できるよ。
歴史と背景
- 2010年代前半 — クラウド利用の普及に伴い、インフラをコードで管理する「Infrastructure as Code」が普及（Puppet・Chef・Ansibleなど）
- 2016年 — HashiCorpが Sentinel をリリース。Terraformと組み合わせてポリシー強制を実現し、「Policy as Code」という概念が広く認知され始める
- 2018年 — OPA（Open Policy Agent） がCloud Native Computing Foundation（CNCF）のサンドボックスプロジェクトに採択。汎用ポリシーエンジンとして注目を集める
- 2019年 — GDPRや米国SOX法対応・金融規制対応の必要性から、コンプライアンス自動化の文脈でPaCが急速に普及
- 2021年 — OPAがCNCFの卒業プロジェクト（Graduated）に。KubernetesやIstioとの統合が進み、クラウドネイティブの標準的なポリシー管理手法として定着
- 2022年以降 — GitOpsの普及と合わせて「セキュリティをパイプラインに組み込む」DevSecOpsの中核技術として、大企業・金融・官公庁でも採用が拡大
従来手法との比較とDevSecOpsへの統合
ポリシーアズコードは、従来の「ドキュメントベースのポリシー管理」と根本的に異なります。
| 観点 | 従来（文書ベース） | ポリシーアズコード |
|---|---|---|
| ポリシーの形式 | Word・Excel・PDFの規則書 | Rego・YAML・HCLなどのコード |
| チェック方法 | 担当者が手作業で確認 | 自動で機械がチェック |
| 適用タイミング | 定期監査（月次・年次） | デプロイのたびにリアルタイム |
| 違反の検知速度 | 遅い（監査まで気づかない） | 即時（パイプラインで止まる） |
| 再現性・一貫性 | 担当者によってバラつく | 常に同じ基準で判定 |
| 変更管理 | 文書のバージョン管理が煩雑 | GitでPull Requestレビュー |
| コスト | 監査・対応の人件費が高い | 初期構築コストはかかるが継続コストは低い |
CI/CDパイプラインへの統合フロー
関連する規格・RFC
| 規格・フレームワーク | 内容 |
|---|---|
| NIST SP 800-53 | 米国政府のセキュリティコントロール標準。PaCで自動適用する対象ポリシーの基礎として広く参照される |
| CIS Benchmarks | クラウド・OSのセキュリティ設定標準。CheckovやAWS Config RulesはCISベースのルールを多数提供 |
| OPA公式仕様（CNCF） | Cloud Native Computing Foundation管理のOPAプロジェクト公式仕様 |
関連用語
- インフラアズコード — インフラ構成をコードで管理する手法。PaCの概念的な親戚
- DevSecOps — 開発・セキュリティ・運用を統合したアプローチ。PaCはその中核技術
- OPA（Open Policy Agent） — ポリシーアズコードを実現する代表的な汎用ポリシーエンジン
- Kubernetes — コンテナ管理基盤。KyvernoやOPA Gatekeeperと組み合わせてPaCが活用される
- CI/CDパイプライン — 継続的インテグレーション／デリバリーの自動化フロー。PaCはここに組み込まれる
- コンプライアンス自動化 — 規制・法令への準拠を自動的に確認・維持する仕組み
- ガバナンス — 組織のIT利用ルール全体の管理。PaCはガバナンスを技術的に実装する手段
- Terraform — HashiCorpのIaCツール。SentinelやConftest経由でPaCと統合される