IAC Audit Pack

Unbearable IaC Audit Pack

Unbearable IaC Audit Pack — 4 つすべての監査 Actor を 1 つの MCP エンドポイントに集約しました。Snyk に匹敵する範囲を、わずかなコストで利用できます。イベントごとの課金で、ツールが実際に呼び出された場合にのみ請求されます。

64 件のチェック。20 カテゴリ。4 つの監査エンジン。1 つの MCP エンドポイント。

---

含まれるもの

パッケージ	チェック数	カテゴリ	主なツール
Docker Compose 監査	25	9	audit_compose
Dockerfile 監査	19	5	audit_dockerfile
GitHub Actions 監査	21	6	audit_github_actions
HU Postcode Validator	5 個のツール	—	validate_postcode、lookup_city、…

さらに、バンドル限定のツールが 2 つあります。

• audit_all — ファイル名 → コンテンツの辞書を貼り付けると、Dockerfile、Compose、ワークフローファイルを自動検出し、それぞれに適切な監査を実行します
• list_all_checks — すべてのパッケージにまたがるチェックカタログを 1 回の呼び出しで表示します

クイックスタート（Claude Desktop）

{
  "mcpServers": {
    "iac-audit-pack": {
      "type": "http",
      "url": "https://unbearable-dev--iac-audit-pack.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer <your-apify-token>"
      }
    }
  }
}

ツールカタログ

集約（バンドル限定）

ツール	説明
audit_all(files, min_severity?)	複数ファイルの検出と統合監査レポート
list_all_checks()	3 つすべての監査パッケージに含まれる全 64 件のチェック

Docker Compose（25 件のチェック、9 カテゴリ）

ツール	説明
audit_compose(compose_yaml?, compose_url?, min_severity?)	25 件すべてのチェックによる監査
check_privilege	特権モード、cap_add、ユーザーネームスペース
check_network	ホストネットワーク、危険なポートの公開
check_secrets	環境変数内のハードコードされたパスワードやトークン
check_filesystem	Docker ソケットのマウント、ホストパスのマウント
check_resources	メモリ／CPU 制限の欠落
check_image_hygiene	タグの固定なし、latest の使用
check_runtime_lifecycle	再起動ポリシー、ヘルスチェック
check_logging	ロギングドライバーの設定
check_compose_hygiene	バージョンフィールド、サービス名
list_checks_compose(category?)	チェックカタログ

Dockerfile（19 件のチェック、5 カテゴリ）

ツール	説明
audit_dockerfile(dockerfile_content?, dockerfile_url?, min_severity?)	19 件すべてのチェックによる監査
check_base_image_dockerfile	ベースイメージの固定なし、latest、FROM 内の root ユーザー
check_instructions_dockerfile	ADD と COPY の使い分け、COPY の順序、ENV 内のシークレット
check_security_dockerfile	USER root、権限昇格のパターン
check_efficiency_dockerfile	レイヤー数、キャッシュの無効化
check_secrets_dockerfile	RUN／ENV／ARG 内のハードコードされたシークレット
list_checks_dockerfile(category?)	チェックカタログ

GitHub Actions（21 件のチェック、6 カテゴリ）

ツール	説明
audit_github_actions(workflow_yaml?, workflow_url?, min_severity?)	21 件すべてのチェックによる監査
check_secrets_gha	漏えいしたトークン、run: ブロック内のシークレット
check_permissions_gha	過度に広範な write-all 権限
check_action_pinning_gha	固定されていないアクション参照（SHA 固定なし）
check_runner_security_gha	セルフホストランナーのリスク
check_workflow_config_gha	pull_request_target の誤用、スクリプトインジェクション
check_supply_chain_advanced_gha	TeamPCP クラスのサプライチェーンパターン（GHA-201..208）
list_checks_github_actions(category?)	チェックカタログ

HU Postcode Validator（5 個のツール）

ツール	説明
validate_postcode(postcode)	HU 郵便番号の市区町村名と県名
lookup_postcode(postcode)	validate_postcode の別名
lookup_city(city)	都市のすべての郵便番号（ダイアクリティカルマークを区別しません）
validate_address(postcode, city)	郵便番号と都市名の組み合わせを検証
list_postcodes_in_county(county_name)	県内のすべての郵便番号
budapest_district_lookup(district_number)	ブダペスト I～XXIII 地区の郵便番号

料金

イベント	USD
audit_all または任意の単一ドメイン監査呼び出し	$0.10
単一ドメイン監査（audit_compose、audit_dockerfile、audit_github_actions）	$0.05
list_checks／検出呼び出し	$0.005

イベントごとの従量課金です。サブスクリプションや月額最低料金はありません。ツールを呼び出したときのみ料金が発生します。

アーキテクチャ

パッケージを直接インポートする方式です（プロキシではありません）。4つのサブパッケージすべてがActorイメージに直接バンドルされます。 コールドスタートは1回、課金経路は1つで、Actor間の遅延もありません。 詳しい理由についてはDESIGN.mdをご覧ください。

---

Unbearable LabsのNoelが開発しました。同様の内容は週刊ニュースレターでご覧いただけます。