【テクニカル・上級編】PulumiのTransforms機能を使ったグローバルリソースのセキュリティタグ自動付与とコンプライアンス強制の実装手法 – インフラ構成管理（IaC）活用バイブル

Pulumi Transformsの深淵：コンプライアンスの強制とグローバル・セキュリティタグ自動インジェクションの極意

インフラストラクチャ・アズ・コード（IaC）の歴史は、「手動運用の苦しみ」から「宣言的定義による再現性への渇望」、そして今や「ガバナンスと自動強制の時代」へとシフトした。

TerraformにおけるSentinelやOPA/Regoを用いたPolicy as Code（PaC）は、CI/CDパイプラインのゲートキーパーとしては機能する。しかし、それらはあくまで「事後的な検知（Shift-Leftの限界）」であり、開発者がローカル環境で`pulumi up`を叩く瞬間、あるいはプレビューの段階で、リソースの形そのものを動的にマングリング（変形）するアプローチとは一線を画す。

Pulumiが提供する `Transforms`（トランスフォーム） は、リソースグラフが構築されるまさにその瞬間に介入し、すべてのプロパティをプログラム的に書き換えることのできる、アーキテクトにとっての「究極の外科手術メス」である。

今回は、このTransformsを駆使し、開発者に一切の負担をかけずに「グローバルなセキュリティタグの自動付与」と「暗号化設定の強制」を完全にコードレベルで自動化する実装手法を、プロダクション環境の知見を交えて徹底解説する。

—

1. Transformsの仕組みと CrossGuard（Policy as Code）の決定的違い

まず、アーキテクチャ上の位置づけを明確にしておこう。類似機能として語られる CrossGuard（Pulumi Policy） と何が違うのか。

なぜ Transforms なのか？

CrossGuardは「コンプライアンスの検知器」としては優秀だが、開発者体験（DX）の観点では「エラーの修正」という認知負荷を強いる。
一方、Transformsは「セキュア・バイ・デザインの強制」をバックエンドのランタイムレベルで担保する。開発者がS3バケットを単に `new aws.s3.Bucket(“my-bucket”)` と書いたとしても、Transformsが介入し、暗号化設定や監査タグをミリ秒単位で悄然とねじ込む。

ここに、インフラ基盤チームが開発者とのコンフリクトを起こさずにセキュリティを担保する「真の自動化」の神髄がある。

—

2. 実装：TypeScriptによる全リソースへのタグ＆暗号化自動インジェクション

以下のコードは、PulumiのTypeScript SDKを使用し、スタック内のあらゆるAWSリソースに対して強制的に共通タグ（CostCenter, Environment, ManagedBy）を付与し、さらに暗号化が必須なリソース（S3やEBS等）へ自動的に暗号化設定をパッチするプロダクション品質のTransforms実装である。

import as pulumi from “@pulumi/pulumi”;

エンタープライズ基準のガバナンスを強制するグローバル・トランスフォーマー

/
export function applyEnterpriseGovernance() {
// ランタイムレベルですべてのリソース生成にフックをかける
pulumi.runtime.registerResourceTransform((args) => {
// 1. タグの強制付与ロジック
// リソースがプロパティに ‘tags’ を持てるか、あるいはAWSリソース特有の構造か判定
if (args.props) {
const existingTags = args.props.tags || {};

// 組織として強制すべきメタデータ
const mandatoryTags = {
“Env”: pulumi.getStack(),
“ManagedBy”: “Pulumi”,
“CostCenter”: “CC-9999-INFRA”,
“LastModifiedByTransform”: new Date().toISOString(),
};

// 既存のタグを上書き、またはマージ
args.props.tags = {
…existingTags,
…mandatoryTags,
};
}

// 2. リソース種別に応じたセキュリティ設定の強制（例: AWS S3の暗号化強制）
if (args.type === “aws:s3/bucket:Bucket”) {
// serverSideEncryptionConfiguration が未設定の場合に強制注入
if (!args.props.serverSideEncryptionConfiguration) {
args.props.serverSideEncryptionConfiguration = {
rule: {
applyServerSideEncryptionByDefault: {
sseAlgorithm: “aws:kms”,
// 組織共通のCMK（Customer Managed Key）を指定
kmsMasterKeyId: “arn:aws:kms:us-east-1:123456789012:key/a1b2c3d4-e5f6-7890-abcd-ef0123456789”,
},
bucketKeyEnabled: true,
},
};
}
}

// 3. パブリックアクセスの完全ブロック（S3の例）
if (args.type === “aws:s3/bucketPublicAccessBlock:BucketPublicAccessBlock”) {
args.props.blockPublicAcls = true;
args.props.blockPublicPolicy = true;
args.props.ignorePublicAcls = true;
args.props.restrictPublicBuckets = true;
}

// 変更されたプロパティと、必要に応じたoptsの調整を返す
return {
props: args.props,
opts: args.opts,
};
});
}

このコードの深層解説

`pulumi.runtime.registerResourceTransform` のスコープ: この関数は、プロジェクトのエントリポイント（`index.ts`）の最上部、いかなるリソース定義よりも前に実行されなければならない。これにより、後続で生成されるすべてのリソースのAST（抽象構文木）的オブジェクトがこのフィルターを通過する。
ミュータビリティとイミュータビリティの調停: Pulumiのプロパティは基本的にイミュータブルに近い扱いを受けるが、`args.props` はプレースホルダーとして渡されたオブジェクトであるため、スプレッド構文等で安全に拡張・上書きが可能。
リソース種別（`args.type`）の厳密なキャッチ: AWSプロバイダの内部リソースタイプ文字列（例: `aws:s3/bucket:Bucket`）をフックすることで、きめ細やかなバリデーションとパラメータインジェクションをコードベースで担保できる。

—

3. 開発者が意識せずにセキュアなインフラを構築する仕組み

この Transforms を組み込んだプロジェクトにおいて、開発者は以下のように極めてシンプル、かつ「セキュリティを意識し忘れる余地のない」コードを書くだけでよい。

import as pulumi from “@pulumi/pulumi”;
import as aws from “@pulumi/aws”;
import { applyEnterpriseGovernance } from “./governance”;

// 1. 真っ先にガバナンスを有効化
applyEnterpriseGovernance();

// 2. 開発者は暗号化やタグを一切記述しない
const bucket = new aws.s3.Bucket(“application-data”, {
bucket: `my-app-data-${pulumi.getStack()}`,
});

// 自動的にパブリックアクセスブロックも追従させたい場合、
// 専用のリソースを定義せずとも、Transforms内で関連リソースを自動生成することも可能だ。

なぜこれが「究極のDX」なのか？

1. 認知負荷のゼロ化: 開発者はAWSの複雑な暗号化ポリシーや、社内ニートなタグ規則を覚える必要がない。
2. 監査の完全性: 「タグを付け忘れたリソース」や「暗号化されていないS3」が本番環境にデプロイされる確率が理論値で 0% になる。
3. ドリフトの防止: コード側で定義が抜けていてもTransformsが補完するため、IaCの記述ミスによるセ穴が生まれない。

—

4. エキスパート向け：メモリ消費・パフォーマンス最適化ハック

Transformsはすべてのリソース生成時に同期（あるいは非同期）でコールバックを実行するため、巨大なモノリスなインフラストラクチャ（数千〜数万リソース）を扱う場合、いくつかのボトルネックが存在する。極限までパフォーマンスを最適化するための知見を共有する。

1. `args.type` の高速フィルタリング

条件分岐で文字列比較を大量に行うと、V8エンジンのガベージコレクションやCPUサイクルを圧迫する。リソースタイプは正規表現や重い処理を避け、厳密な文字列一致（O(1)のハッシュマップ引き当て等）で高速にスルーさせること。

// 高速なルックアップマップの活用
const securedResourceHandlers: Record void> = {
“aws:s3/bucket:Bucket”: (props) => {
// S3特有の処理
},
“aws:rds/instance:Instance”: (props) => {
// RDSのストレージ暗号化やマルチAZ強制
props.storageEncrypted = true;
}
};

pulumi.runtime.registerResourceTransform((args) => {
if (args.props && securedResourceHandlers[args.type]) {
securedResourceHandlers[args.type](args.props);
}
return { props: args.props, opts: args.opts };
});

2. 子リソースの動的インジェクション（Advanced）

Transformsの真の恐ろしさは、単なるプロパティの書き換えだけでなく、親リソースの生成時に、連鎖的に別のリソース（子リソース）をプログラム側で自動アタッチ・生成できる点にある。
例えば、すべてのS3バケットに対して、自動的に `BucketLogging` や `BucketPolicy` をプログラム側で自動インスタンス化して紐付けることが可能だ。これにより、開発者が「ロギング設定を書き忘れた」という事態すらシステムが自動でハックし、裏でインフラを補完し続ける。

—

5. 結び：インフラストラクチャの「自律制御」へ

PulumiのTransforms機能は、単なる便利APIではない。それは、組織のインフラストラクチャガバナンスを「人間の注意力」という最も信頼できないファクターから切り離し、「コードという絶対的な物理法則」に委ねるためのパラダイムシフトである。

開発者はビジネスロジックの構築に集中し、セキュリティとコンプライアンスはTransformsという名の守護神がバックグラウンドで完璧に担保する。この境地に達したとき、インフラストラクチャ・アズ・コードは真の「完全自動化」の領域に到達する。