こんにちは。インフラの現場で「設定の不整合」という悪夢に悩まされ続けたことはありませんか？
深夜の緊急メンテナンス、手作業による設定ミス、そして監査前の「どこがどう変わったのか分からない」という恐怖。これらを過去のものにするのが、Puppetを使った「コンプライアンスの自動化」です。
今日は、単なる構成管理ツールとしてのPuppetを超え、「あるべき姿（Desired State）」を強制し、脆弱性を自動修復するインフラの守護神へと進化させる方法を伝授します。
—
1. なぜ「コンプライアンスの自動化」が不可欠なのか？
現代のインフラ管理において、「設定変更」は最大の脆弱性です。誰かが検証のために開けたポート、古いまま残った特権ユーザー、バージョンアップを忘れたミドルウェア。これらは「ドリフト（Drift：設定の乖離）」と呼ばれ、攻撃者の標的になります。
Puppetの真骨頂は、「一度定義したインフラの姿を、何度でも、何度でも強制的に適用し直す」点にあります。これが「冪等性（べきとうせい）」の神髄です。
—
2. Puppet Compliance Engineの核：CISベンチマークの適用
世界中のセキュリティ専門家が策定した「CISベンチマーク（Center for Internet Security）」を、Puppetを使ってコード化します。
インストールとセットアップ（基本のキ）
まず、Puppetのマスター（司令塔）とエージェント（現場のサーバー）を用意します。最も手軽な構成として、Puppetのモジュールリポジトリ「Puppet Forge」から、CIS準拠のためのモジュールを導入しましょう。
PuppetマスターでCIS準拠用のモジュールをインストール
puppet module install puppetlabs-cis_benchmarks
このモジュールは、例えば「SSHのルートログイン禁止」や「不要なカーネルモジュールのロード停止」といった複雑な設定を、たった一行の宣言で完了させてくれます。
—
3. 意図しない設定変更（ドリフト）の自動修復
Puppetの最も美しいところは、「サーバーが勝手に変わっても、Puppetが勝手に元に戻してくれる」という自己修復機能です。
HelloWorld的な動作確認：SSH設定の強制
特定のSSH設定が維持されているかを確認するマニフェストを作成します。
/etc/puppetlabs/code/environments/production/manifests/site.pp
SSHのルートログインを絶対に許さないという定義
file_line { ‘deny_root_login’:
path => ‘/etc/ssh/sshd_config’,
line => ‘PermitRootLogin no’,
match => ‘^PermitRootLogin’,
# これが重要：設定がズレていれば、即座に修正（notify）してサービスを再起動する
notify => Service[‘sshd’],
}
service { ‘sshd’:
ensure => running,
enable => true,
}
ここがプロの視点：
もし誰かが `sshd_config` を手動で書き換えて `PermitRootLogin yes` にしたとします。Puppetエージェントが次に動く（通常30分ごと）瞬間、Puppetは「あるべき姿ではない」と判断し、強制的に `no` に書き換え、sshdプロセスを安全に再起動します。 人間の介在なしに脆弱性が塞がる瞬間、現場のエンジニアは震えるほど安心できるのです。
—
4. 監査レポート：何が起きているかを可視化する
セキュリティ統制には「証跡」が不可欠です。Puppetには `PuppetDB` というデータベースを連携させることで、誰が、いつ、どのリソースを修正したかを完璧に記録できます。
- レポートの確認コマンド:
# 特定ノードの直近の変更履歴を確認
puppet node status
また、`puppet-report-viewer` などのツールを組み合わせれば、Web UI上で「どの設定がコンプライアンスに違反し、どう自動修復されたか」を一覧表示できます。監査担当者に見せるべきは、分厚い手書きのチェックシートではなく、この自動生成された信頼のログです。
—
最後に：あなたへのアドバイス
Puppetを導入する最大のメリットは、「ミスをしないこと」ではありません。「ミスをしても、システムが自分自身で正しい状態へ復元してくれるという信頼感」を得ることです。
まずは、一つの小さな設定（例えば、特定のファイルのパーミッションなど）から自動化を始めてみてください。それが、あなたのインフラを「堅牢な要塞」へと変える第一歩です。
何か分からないことがあれば、いつでも聞いてください。インフラの守護神を目指すあなたの挑戦を、心から応援していますよ。