DevOps & Cloud Code Auditor

DevOps & Cloud Code Auditor（MCP Server）

本番環境での利用に対応した Model Context Protocol（MCP）サーバーです。AI コーディングアシスタント（Claude Desktop、Cursor、Windsurf、Cline）に、自動化された静的解析ツールを提供し、本番環境の障害、クラウドコストの漏出、セキュリティ上の脆弱性を防ぎます。

---

🌟 機能と監査対象のルールセット

このサーバーは、重要な3つのエンジニアリング分野にわたり、コードベースを検査します。

1. クラウドコストの漏出（Terraform / HCL / AWS）：

   • EBS_GP2：レガシーな gp2 EBS ボリュームを検出します（gp3 は同等の耐久性を備え、ベースラインコストを約20％削減し、ベースライン IOPS も向上します）。
   • PUBLIC_IP：不要な associate_public_ip_address = true を検出します。これにより、AWS の IPv4 使用料（IP ごとに $0.005/hr）が毎時発生します。
   • CW_NO_RETENTION：保持ポリシーが設定されていない aws_cloudwatch_log_group を検出します（予算を設定していないログ取り込みコストが無制限に発生するのを防ぎます）。
   • S3_NO_LIFECYCLE：Glacier へのライフサイクル移行が設定されていない S3 バケットを検出します。
   • RDS_MULTIAZ_NONPROD & RDS_PROVISIONED_IOPS_NONPROD：開発環境およびステージング環境で、データベースのインフラストラクチャコストが倍増する設定を検出します。

2. PostgreSQL のマイグレーションにおけるテーブルロックの危険性：

   • INDEX_NOT_CONCURRENT：CONCURRENTLY を付けずに CREATE INDEX を実行するケースを検出します（EXCLUSIVE ロックが取得され、本番環境でテーブルへの書き込みが停止します）。
   • NOT_NULL_VOLATILE_DEFAULT：ACCESS EXCLUSIVE ロック下でテーブルのすべての行を書き換える ADD COLUMN ... NOT NULL DEFAULT <func()> を検出します。
   • FK_NO_INDEX：インデックスがない外部キー制約を検出します。これにより、親テーブルの更新や削除時に、テーブルレベルのカスケード処理でシーケンシャルロック走査が発生します。
   • FOR_UPDATE_UNBOUNDED：LIMIT または SKIP LOCKED が指定されていない SELECT ... FOR UPDATE を検出し、デッドロックを防ぎます。

3. OWASP とフルスタック Next.js API のセキュリティ：

   • NEXT_PUBLIC_SECRET_LEAK：NEXT_PUBLIC_ が付いた機密トークンや秘密の API キーを検出します。これらは公開クライアントのブラウザーバンドルに漏洩します。
   • NEXTJS_SERVER_ACTION_NO_AUTH：明示的なセッション認証検証を行わずにミューテーションをエクスポートする、Next.js 14/15 の Server Actions を検出します。
   • SQLI_RAW_INTERPOLATION：パラメーター化された入力ではなく、文字列補間を使用する生の SQL クエリテンプレートを検出します。
   • SSRF_UNVALIDATED_FETCH：プロトコルやホスト名を検証せず、ユーザー入力を使って外部 fetch を呼び出すケースを検出します。

---

🛠️ 提供する MCP ツール

このサーバーは、公式の Model Context Protocol 仕様（tools/list および tools/call）を実装しています。

1. audit_devops_repository

フックを実行せずに公開 Git リポジトリを浅くクローンし、AST および正規表現による静的構文監査を実施して、構造化された検出結果と、書式設定済みの Markdown レポートを返します。

• パラメーター：
  • repository_url（string、必須）：監査対象リポジトリの公開 Git URL（例：https://github.com/example/cloud-infra）。
  • sub_directory（string、任意）：検査対象とするリポジトリ内の特定のサブディレクトリ（例：terraform/ または prisma/migrations/）。
• 戻り値：
  • status：「success」または「error」
  • total_findings：検出された問題の数
  • findings：詳細な脆弱性レコードの配列（ファイル、行番号、ルール ID、深刻度、メッセージ、修正コード）
  • markdown_report：人が読みやすい概要テーブル

2. audit_devops_code

Terraform（HCL）、PostgreSQL のマイグレーション（SQL）、または Next.js の API／Server Action コードのコードスニペットを直接監査します。

• パラメーター：
  • code（文字列、必須）：監査対象のソースコード文字列です。
  • file_type（文字列、任意、デフォルト："auto"）："terraform"、"postgres"、"nextjs"、または "auto" のいずれかです。
• **戻り値：**そのまま適用できるコード修正を含む、構造化された JSON 形式の検出結果です。

3. audit_local_devops_directory

Pull Request を提出したりステージング環境にデプロイしたりする前に、ホストマシン上のローカルファイルシステムのディレクトリを監査します。

• パラメーター：
  • directory_path（文字列、必須）：対象フォルダーの絶対ファイルシステムパスです。
• **戻り値：**構造化された JSON 形式の検出結果と重大度の内訳です。

---

🚀 クライアントの設定とクイックスタート

1. Claude Desktop のセットアップ

サーバーを claude_desktop_config.json に追加します。

{
  "mcpServers": {
    "devops-code-auditor": {
      "command": "python3",
      "args": ["/path/to/devops-code-auditor/server.py"]
    }
  }
}

2. Cursor IDE／Windsurf のセットアップ

Cursor で、Settings → Features → MCP → Add New MCP Server に移動します。

• 名前： devops-code-auditor
• タイプ： command
• コマンド： python3 /absolute/path/to/devops-code-auditor/server.py

3. Docker の実行

Docker で分離されたコンテナーを実行します。

{
  "mcpServers": {
    "devops-code-auditor": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/ansarii/devops-code-auditor"
      ]
    }
  }
}

---

💻 エージェントの使用例

接続すると、AI アシスタントは必要に応じてマイグレーションファイルやクラウドマニフェストを評価できます。

User: "Check this PostgreSQL migration before I run it on production:
CREATE INDEX idx_orders_user_id ON orders (user_id);"

Claude (Tool Call):
audit_devops_code({
  "code": "CREATE INDEX idx_orders_user_id ON orders (user_id);",
  "file_type": "postgres"
})

Result:
{
  "status": "success",
  "total_findings": 1,
  "findings": [
    {
      "suite": "postgres-locks",
      "rule": "INDEX_NOT_CONCURRENT",
      "severity": "high",
      "file": "migration.sql",
      "line": 1,
      "message": "CREATE INDEX on \"orders\" without CONCURRENTLY blocks table writes during build.",
      "fix": "CREATE INDEX CONCURRENTLY idx_orders_user_id ON orders (user_id);"
    }
  ]
}

---

🔒 セキュリティ保証：実行ゼロ

このサーバーは AST のパターンマッチングと正規表現による検証を使用して、100％静的解析を実行します。信頼できないシェルコマンド、任意の Python コード、またはデータベース接続をお使いのマシン上で実行することはありません。

---

📜 ライセンス

MIT License — Copyright (c) 2026 Neon Innovation Lab. Neon Innovation Lab によって保守されています。