エンジニアの皆さん、こんにちは。
AWSでインフラをコード化（IaC）する際、「デプロイして初めてエラーに気づく」「セキュリティグループが全開放のままリリースしてしまった」といった冷や汗をかく経験をしたことはありませんか？
CloudFormation（以下CFn）は強力ですが、手動でテンプレートを書いていると、記述ミスやセキュリティの穴を塞ぐのは至難の業です。今日は、「ミスを人間がチェックする時代」を終わらせ、自動化の力でインフラの品質を極限まで高めるための「静的解析ツール」の導入ガイドを伝授します。
これをマスターすれば、あなたの書くテンプレートは「動く」だけでなく「堅牢」なものに生まれ変わります。
—
1. なぜ「静的解析」が必須なのか？
コードを書いた直後に、エディタが「そのプロパティは存在しないよ」「その設定はセキュリティリスクがあるよ」と教えてくれたら、どれだけ楽でしょうか。それを実現するのが以下のツール群です。
- cfn-lint: 構文、リソース属性、プロパティの整合性をチェックする「文法教師」。
- cfn_nag: セキュリティグループの設定や、過剰なIAM権限など「セキュリティ上の脆弱性」を見抜く守護神。
これらを導入することで、デプロイ前の「フィードバックループ」が劇的に短縮されます。
—
2. cfn-lint: インフラの文法を正す
まずは、AWS公式も推奨する `cfn-lint` を導入しましょう。Python環境があれば一瞬です。
インストール
pip install cfn-lint
動作確認（Hello World）
試しに、わざと誤ったプロパティを書いた `test.yaml` を作成してみてください。
test.yaml
Resources:
MyBucket:
Type: AWS::S3::Bucket
Properties:
WrongProperty: “error” # 本来存在しないプロパティ
実行コマンド：
cfn-lint test.yaml
実行すると、即座に `E1001: Property WrongProperty is not defined` とエラーを返してくれます。これでもう、「デプロイして10分待った挙句にロールバック」という悲劇とは無縁です。
—
3. cfn_nag: セキュリティの穴を塞ぐ
次に、セキュリティリスクを検知する `cfn_nag` です。これは「安全なAWSの構成とは何か」を知っているエンジニアを雇うのと同じ効果があります。
インストール
Ruby環境が必要です。
gem install cfn-nag
動作確認
先ほどのS3バケットを、あえて公開設定（パブリックアクセス許可）にしてみましょう。
secure_test.yaml
Resources:
MyBucket:
Type: AWS::S3::Bucket
Properties:
AccessControl: PublicRead # これが脆弱性の元！
実行コマンド：
cfn_nag_scan –input-path secure_test.yaml
結果には「W26: S3 Bucket should not have a public ACL」と警告が出ます。何を直すべきか、ツールが明確に教えてくれるのです。
—
4. VS Codeで「書いている最中」にチェックする
CLIでの確認も重要ですが、「書いた瞬間に気づく」体験こそが、開発生産性を最大化します。
VS Codeの拡張機能マーケットプレイスで以下をインストールしてください。
1. CloudFormation Linter (by kddejong)
- `cfn-lint` をバックグラウンドで走らせ、エディタ上で波線を出してくれます。
2. cfn-lint (by AWS)
- 公式の拡張機能です。VS Codeの画面下部にエラーが一覧表示されるため、修正の手間が省けます。
これらを入れると、コードを保存するたびに、まるでペアプログラミングの相棒が隣で見守ってくれているような安心感を得られます。
—
5. Git Hooksで「事故」を物理的に防ぐ
最後に、チーム開発で最も重要な「事故防止」の仕組みです。「ミスしたコードをそもそもGitHubにプッシュさせない」という制約をかけます。
`.git/hooks/pre-commit` に以下のスクリプトを仕込んでみてください。
!/bin/bash
変更されたCloudFormationテンプレートを取得
files=$(git diff –cached –name-only –diff-filter=ACM | grep -E ‘\.(yaml|yml|json)$’)
for file in $files; do
# cfn-lintで文法チェック
cfn-lint “$file” || exit 1
# cfn_nagでセキュリティチェック
cfn_nag_scan –input-path “$file” || exit 1
done
これを導入すれば、どれほど急いでいても、セキュリティ的に脆弱なコードはGitにコミットできません。「人間がミスをする前提」で仕組みを作る。これこそがSREの真髄です。
—
まとめ：自動化は、あなたの「自由」のためにある
ツールを導入する最大のメリットは、構文ミスや単純なセキュリティ設定ミスをツールに任せ、「あなたはシステム全体のアーキテクチャや、より高度な課題解決に脳のリソースを使えるようになる」という点にあります。
まずは今日、手元のプロジェクトに `cfn-lint` をインストールするところから始めてみてください。あなたのインフラ構築ライフが、驚くほど軽快で安心なものに変わることを約束します。
もし、さらに深いCI/CDパイプラインへの統合や、カスタムルールの作成について興味があれば、いつでも聞いてください。インフラの深淵を共に極めていきましょう。