ストーリー

Compliance as Codeのアーキテクチャ

全体構成

Compliance as Code の構成:

1. ポリシー定義（Git管理）
   ├── security-policies/     # セキュリティポリシー
   ├── cost-policies/          # コスト管理ポリシー
   ├── operational-policies/   # 運用ポリシー
   └── compliance-mappings/    # 規制へのマッピング

2. ポリシーエンジン
   ├── OPA（Open Policy Agent）    # 汎用ポリシーエンジン
   ├── Kyverno                      # Kubernetes Admission
   ├── Checkov                      # IaCスキャン
   └── Semgrep                      # コードセキュリティ

3. 実行ポイント
   ├── CI/CDパイプライン            # PR時、ビルド時
   ├── Kubernetes Admission         # デプロイ時
   ├── 定期スキャン                  # 日次、週次
   └── リアルタイム監視              # 稼働中

4. レポーティング
   ├── コンプライアンスダッシュボード
   ├── 監査レポート自動生成
   └── 違反通知（Slack、メール）

ポリシーの分類

CloudOps社のポリシーカタログ

ポリシーのライフサイクル

ポリシーのライフサイクル:

1. Draft（草案）
   ポリシーチームが草案作成
     ↓
2. Review（レビュー）
   開発者代表を含むレビュー
     ↓
3. Audit（監査モード）
   違反を検出するが、ブロックしない
   → 影響範囲を確認
     ↓
4. Enforce（強制モード）
   違反を自動ブロック
     ↓
5. Monitor（モニタリング）
   定期的な有効性レビュー

コンプライアンスダッシュボード

ダッシュボードの構成

コンプライアンスレポートの自動生成

自動生成レポート:

月次コンプライアンスレポート:
  - 全サービスのポリシー準拠率: 94%
  - 違反件数の推移（前月比 -8件）
  - 新規ポリシーの適用状況
  - 未修正の違反一覧（優先度順）

監査用エビデンス:
  - ポリシー定義（Git履歴）
  - チェック実行ログ（日時、結果、対象）
  - 違反の検出から修正までの履歴
  - 承認フローのログ

プラットフォームによる自動準拠

Golden Pathに組み込まれたコンプライアンス

「最高のコンプライアンスは、開発者がコンプライアンスの存在を意識しないコンプライアンスだ。Golden Pathに沿っていれば自動的に準拠している。これがPlatform Engineeringの真価だ」 — 田中VPoE

まとめ

チェックリスト

• Compliance as Codeのアーキテクチャを説明できる
• ポリシーのライフサイクル管理を理解した
• コンプライアンスダッシュボードを設計できる
• Golden Pathによる自動準拠の仕組みを理解した

次のステップへ

次は演習です。CloudOps社のGolden Pathとガードレールを設計しましょう。

推定読了時間: 30分