devops-platform-patterns

DevOps プラットフォームのパターン

インフラストラクチャコード向けの、プラットフォーム固有の検証チェックリストです。

DigitalOcean

チェック項目	合格	不合格
プライベートネットワークに VPC を使用	プライベートネットワークが設定されている	パブリックネットワークのみ
本番環境に予約済み IP を使用	静的 IP が割り当てられている	重要なサービスにエフェメラル IP を使用
マネージドデータベースを同じリージョンに配置	DB が同じ場所に配置されている	リージョン間のレイテンシーが発生
状態バックエンドに Spaces を使用	リモート状態を Spaces に保存	ローカル状態のみ
すべての Droplet にファイアウォールを適用	ファイアウォールルールが適用されている	ファイアウォールなし

ベストプラクティス：

• 内部通信には digitalocean_vpc を使用します
• インバウンドルールを設定した digitalocean_firewall でファイアウォールを適用します
• バージョニングを有効にして、Terraform の状態を DigitalOcean Spaces に保存します

Hetzner

チェック項目	合格	不合格
プライベートネットワークを設定	ネットワークが作成されている	プライベートネットワークなし
ファイアウォールルールを定義	ルールでアクセスが制限されている	インターネットに公開
リソースを使って SSH キーを管理	hcloud_ssh_key を使用	キーを user_data のみに保存
HA にプレースメントグループを使用	サーバーが分散配置されている	単一障害点

ベストプラクティス：

• 内部トラフィックには hcloud_network と hcloud_network_subnet を使用します
• すべてのサーバーに hcloud_firewall を適用します
• 重要なワークロードには spread タイプのプレースメントグループを使用します

AWS

チェック項目	合格	不合格
プライベートサブネットを持つ VPC	マルチ AZ の VPC	デフォルト VPC の使用
最小権限のセキュリティグループ	ポートと IP を指定	0.0.0.0/0 からのインバウンド
アクセスキーより IAM ロールを使用	インスタンスプロファイル	認証情報をハードコード
データを KMS で暗号化	カスタマー管理キー	暗号化なし
CloudTrail を有効化	監査ログが有効	監査証跡なし

ベストプラクティス：

• 本番環境ではデフォルト VPC を決して使用しないでください
• アクセスキーよりも、インスタンスプロファイルと組み合わせた aws_iam_role を優先します
• S3 バケットのバージョニングと暗号化をデフォルトで有効にします
• 機密データの暗号化には aws_kms_key を使用します

Cloudflare

チェック項目	合格	不合格
グローバルキーより API トークンを使用	スコープが限定されたトークン	グローバル API キー
WAF ルールを設定	保護が有効	WAF なし
SSL モードが strict	Full（strict）モード	Flexible SSL
エンドポイントでレート制限を設定	ルールが適用されている	レート制限なし

ベストプラクティス：

• 環境や用途ごとにスコープが限定された API トークンを作成します
• オリジンを保護するため、SSL モードを strict に設定します
• 認証エンドポイントにレート制限を適用します
• 利用可能な場合は Bot Management を有効にします

プラットフォーム横断チェック

チェック項目	対象	検証内容
プライベートネットワーク	すべて	内部サービスが公開されていない
ファイアウォール／セキュリティグループ	すべて	明示的な許可ルールのみ
リモート状態バックエンド	すべて	ローカルの tfstate に保存されていない
保存データの暗号化	すべて	データが暗号化されている
監査ログ	AWS、Cloudflare	アクティビティが記録されている