HashiCorpは、Terraform向けのHCLベースの新しいPolicy-as-Codeフレームワーク「tfpolicy」を発表しました。HCP Terraformのパブリックベータ版で利用可能です。tfpolicyは、ポリシー作成と適用をTerraformワークフローに直接統合することで、別ツールや別言語を必要とせず、インフラストラクチャのガバナンスを簡素化・近代化することを目的としています。

Terraform policyは、宣言型のHCLベースのポリシー・アズ・コード・フレームワークであり、プラットフォームチームが慣れ親しんだ言語を使ってポリシーを定義・適用できるようにし、モダンなインフラストラクチャシステム向けに設計された新しいガバナンス機能を提供します。

Policy as codeは、組織がガバナンス要件をコード化し、コンプライアンスチェックを自動化し、セキュリティ成果を強化するのに役立ちます。既存のソリューションであるHashiCorp SentinelやOpen Policy Agent (OPA)は、インフラストラクチャをポリシールールに対して検証する別レイヤーとして動作します。

HashiCorpによると、これらのアプローチは、リソース間の関係など、インフラストラクチャのライフサイクルを通じて変化する重要な外部コンテキストを組み込めないことが多いと言います。代わりに、新しいポリシーフレームワークは、個々のリソースではなく複数のクラウドやサービスにまたがるモダンなインフラストラクチャの複雑化に対応します。

Terraform tfpolicyはTerraformに深く統合されており、Terraformインフラストラクチャの作成を可能にするのと同じ言語であるHCLを使用するため、ツールや言語の切り替えを減らし、すでに使用している同じワークフロー内でポリシーを定義・適用できます。

この深い統合により、ガバナンスをインフラストラクチャのライフサイクルに近づけ、展開前後のポリシー評価が可能になります。チームは、計画された変更だけでなく実際のインフラストラクチャの状態に基づいて要件を適用でき、Terraform利用者が日常的に使用している馴染みのあるワークフローとプラクティスの中で行えます。

tfpolicyは、リソース間の関係に基づいたポリシー評価や、データソースルックアップを活用した外部コンテキストのポリシー適用ワークフローへの組み込みなど、いくつかの新しい機能も導入しています。また、サプライチェーンのリスクに対応するため、プロバイダーやモジュールのダウンロードを制御できるようにし、組織が「承認された依存関係の管理を確立し、未承認のプロバイダーやモジュールの偶発的な使用を防ぐ」ことを支援します。

tfpolicyのTerraformとの深い統合のもう一つの利点は、展開後のポリシー評価が可能になることで、リソースがプロビジョニングされた後で初めて可視化される違反を検出できるようになります。

TerraformはSentinelのサポートを継続しますが、HashiCorpはtfpolicyを推奨のポリシーフレームワークとして位置づけています。また、tfpolicy設定の生成とテストを行うAIエージェントの導入や、既存のSentinelポリシーの変換機能も提供しています。

最後に、tfpolicyはその全機能はHCP Terraform内でのみ提供され、エンドツーエンドのインフラストラクチャワークフローへの緊密な統合（計画、展開、および展開後の評価におけるポリシー適用を含む）が可能です。一方、スタンドアロンのCLIは主にポリシーの検証とローカルテストをサポートするもので、範囲が限定されています。開発や反復には有用ですが、マネージドなHCP Terraform環境で利用できるような統合性、自動化、適用レベルの提供はありません。

HashiCorp SentinelはHCP Terraformにネイティブに統合されたポリシー・アズ・コード・フレームワークであり、Sentinel独自のドメイン固有言語を使用して細かなテスト可能なルールを記述できます。Open Policy Agentは、100を超える統合をサポートするオープンソースのクラウドネイティブでベンダー非依存のソリューションです。

About the Author

Sergio De Simone