IaC・基盤設計

プロジェクトで使用するIAMロール・ポリシー・ユーザー・グループをTerraformで一括管理する設計パターンを解説する。マネージドポリシーとインラインポリシーの使い分け、AWSクォータを踏まえた設計判断を紹介する。

AWSにおけるアクセス制御はIAM（API操作レベル）とSecurity Group（ネットワーク通信レベル）の2レイヤーで構成される。アクセス先のサービスによってどちらが効くかが異なる。それぞれの役割の違いと、Terraformで一括管理する際の共通設計パターンを解説する。

運用管理画面にサービス名やARNを書くと、構成が変わるたびに画面の修正が要る。Terraformがモジュールの出力から接続情報を組み立ててLambdaへ渡し、画面は情報の形と状態の語彙だけを知る構成にすると、サービスやリソースの増減に画面を直さずに追従できる。CDの進捗をデプロイ方式ごとの段階で見せる設計、権限の導き方、AIが開発しやすい構造としての位置づけを解説する。

Security Groupを一括管理し、リソース間の通信許可をSecurity Group IDの参照で設計するパターンを解説する。IPアドレスに依存せず、公開する入口を必要最小限に絞るネットワークアクセス制御の実践を紹介する。

AWSのサービスを組み合わせるたびに設計をやり直すと、プロジェクトごとに作りがばらつく。ECSを中心とするWebサービスを運用し続けるという目的の単位でTerraformを組み替え、環境ごとの記述を「宣言と配線」に絞る設計の考え方と、それを支える規則・品質の担保・運用の循環を解説する。