IaCのセキュリティとは？あいえーしーのせきゅりてぃ
IaCのセキュリティとは、クラウドの構成をコードで宣言する運用において、そのコード自体を検査の対象に置く考え方。稼働後の設定監査ではなく、コミットやプルリクエストの時点で静的解析にかけ、危険な構成が本番へ届く前に差し止める。指摘はコード側で直すため同じ不備が再発しない。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
クラウドでは設定画面の数クリックで公開範囲が変わり、事故の多くは侵入ではなく設定の不備から起きる。人手の設定は誰がいつ何を変えたか追えず、同じ不備が環境ごとに繰り返し生まれる。構成を宣言として書き、その文書を検査・レビュー・履歴の対象にする発想がここから出た。
具体例
TerraformやCloudFormationのテンプレートを、CheckovやtfsecでCIにかける。ストレージの全世界公開、通信の暗号化無効、0.0.0.0/0からのSSH許可、平文で埋め込まれた資格情報を検出したらマージを止める。承認を伴う変更履歴はそのまま監査証跡になる。
試験での引っ掛け
手作業の変更（構成ドリフト）が入るとコードと実環境が食い違い、コードだけ検査しても実態を保証できない。本番の直接変更を禁じ、差分検出と併せて運用して初めて成立する。資格情報をコードに書いてリポジトリへ入れると履歴に残り消しにくい点も論点になる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。