KiroPower：ステアリングファイルとの違いを理解する（IaC検証Powerの実装）

ユーザー：「このCloudFormationファイルをチェックして」 Kiro：cfn-lintとcfn-nagを実行 → 結果を解析 → 問題を指摘

[markdown] # CloudFormationのルール - セキュリティグループで 0.0.0.0/0 を許可しないこと - S3バケットは必ず暗号化すること

ユーザー：「このCloudFormationファイルをチェックして」 Kiro：cfn-lintを実行 → 結果を解析 → 問題を指摘

Kiro IDE ↓ (MCPプロトコル) MCPサーバー ↓ 外部ツール（cfn-lint、cfn-nag等）

.kiro/powers/iac-validator/ ├── POWER.json # Power設定ファイル ├── POWER.md # ドキュメント └── mcp-server/ ├── server.py # MCPサーバー本体 └── requirements.txt # Python依存関係

[bash] pip install cfn-lint

[bash] gem install cfn-nag

[bash] # Python環境（Python 3.9以上） python --version # FastMCPライブラリとその他の依存関係 pip install fastmcp pyyaml cfn-lint # cfn-nagのインストール（Rubyが必要） gem install cfn-nag

[bash] # Pythonの確認 python --version # cfn-lintの確認 cfn-lint --version # cfn-nagの確認 cfn_nag --version # FastMCPの確認 python -c ""import mcp.server.fastmcp; print('FastMCP installed')""

[json] { ""name"": ""iac-validator"", ""displayName"": ""IaC Validator"", ""version"": ""1.0.0"", ""description"": ""CloudFormationテンプレートのセキュリティチェックを自動化"", ""keywords"": [""cloudformation"", ""iac"", ""security"", ""aws"", ""cfn-lint"", ""cfn-nag""], ""mcpServers"": { ""iac-checker"": { ""command"": ""python"", ""args"": [""mcp-server/server.py""], ""env"": {} } } }

[python] #!/usr/bin/env python3 """""" IaC Validator MCP Server CloudFormationテンプレートのセキュリティチェックを自動化 """""" import logging import os import subprocess import sys from typing import Dict, Any from mcp.server.fastmcp import FastMCP # ロギング設定 name = ""iac-validator"" logging.basicConfig( level=logging.INFO, format='%(name)s - %(levelname)s - %(message)s', handlers=[logging.StreamHandler()] ) logger = logging.getLogger(name) # MCPサーバーの作成 port = int(os.environ.get('PORT', 8080)) mcp = FastMCP(name, logger=logger, port=port) def run_cfn_lint(file_path: str) -> Dict[str, Any]: """""" cfn-lintを実行してCloudFormationテンプレートをチェック Args: file_path: チェックするファイルのパス Returns: チェック結果の辞書 """""" try: result = subprocess.run( ['cfn-lint', file_path], capture_output=True, text=True, timeout=30 ) return { ""success"": result.returncode == 0, ""output"": result.stdout, ""errors"": result.stderr, ""returncode"": result.returncode } except subprocess.TimeoutExpired: return { ""success"": False, ""error"": ""cfn-lintの実行がタイムアウトしました"" } except FileNotFoundError: return { ""success"": False, ""error"": ""cfn-lintが見つかりません。インストールしてください。"" } except Exception as e: return { ""success"": False, ""error"": f""エラーが発生しました: {str(e)}"" } def run_cfn_nag(file_path: str) -> Dict[str, Any]: """""" cfn-nagを実行してセキュリティチェック Args: file_path: チェックするファイルのパス Returns: チェック結果の辞書 """""" try: result = subprocess.run( ['cfn_nag_scan', '--input-path', file_path], capture_output=True, text=True, timeout=30 ) return { ""success"": result.returncode == 0, ""output"": result.stdout, ""errors"": result.stderr, ""returncode"": result.returncode } except subprocess.TimeoutExpired: return { ""success"": False, ""error"": ""cfn-nagの実行がタイムアウトしました"" } except FileNotFoundError: return { ""success"": False, ""error"": ""cfn-nagが見つかりません。インストールしてください。"" } except Exception as e: return { ""success"": False, ""error"": f""エラーが発生しました: {str(e)}"" } @mcp.tool() def check_cloudformation(file_path: str) -> str: """""" CloudFormationテンプレートの総合チェック cfn-lintとcfn-nagの両方を実行してセキュリティ問題を検出 Args: file_path: チェックするCloudFormationファイルのパス Returns: チェック結果の詳細レポート（文字列） """""" logger.info(f""Tool called: check_cloudformation({file_path})"") # cfn-lintを実行 lint_result = run_cfn_lint(file_path) # cfn-nagを実行 nag_result = run_cfn_nag(file_path) # 結果を整形して返す report = f""【CloudFormationチェック結果】\n\n"" report += f""ファイル: {file_path}\n\n"" # cfn-lintの結果 report += ""=== cfn-lintの結果 ===\n"" if lint_result.get(""success""): report += ""✓ 構文エラーなし\n"" report += "" CloudFormationの構文は正しいです。\n"" else: report += ""✗ 構文エラーが見つかりました\n"" report += f""{lint_result.get('output', '')}\n"" if lint_result.get('error'): report += f""エラー: {lint_result['error']}\n"" report += ""\n"" # cfn-nagの結果 report += ""=== cfn-nagの結果 ===\n"" if nag_result.get(""success""): report += ""✓ セキュリティ問題なし\n"" report += "" AWS基礎セキュリティのベストプラクティスに準拠しています。\n"" else: report += ""⚠ セキュリティ問題が検出されました\n"" report += f""{nag_result.get('output', '')}\n"" if nag_result.get('error'): report += f""エラー: {nag_result['error']}\n"" report += ""\n"" # 総合評価 report += ""【総合評価】\n"" overall_success = lint_result.get(""success"", False) and nag_result.get(""success"", False) if overall_success: report += ""✓ すべてのチェックに合格しました\n"" else: report += ""✗ 修正が必要な項目があります\n"" return report @mcp.tool() def list_resources(file_path: str) -> str: """""" CloudFormationテンプレート内のリソース一覧を取得 Args: file_path: CloudFormationファイルのパス Returns: リソース一覧（文字列） """""" logger.info(f""Tool called: list_resources({file_path})"") try: import yaml with open(file_path, 'r', encoding='utf-8') as f: template = yaml.safe_load(f) resources = template.get('Resources', {}) if not resources: return ""リソースが見つかりませんでした。"" report = f""【リソース一覧】\n\n"" report += f""ファイル: {file_path}\n"" report += f""リソース数: {len(resources)}\n\n"" for resource_name, resource_data in resources.items(): resource_type = resource_data.get('Type', '不明') report += f""- {resource_name} ({resource_type})\n"" return report except FileNotFoundError: return f""エラー: ファイルが見つかりません: {file_path}"" except yaml.YAMLError as e: return f""エラー: YAMLの解析に失敗しました: {str(e)}"" except Exception as e: return f""エラー: {str(e)}"" # サーバーの起動 if __name__ == ""__main__"": logger.info(f""Starting IaC Validator MCP Server on port {port}..."") try: mcp.run(transport=""sse"") except Exception as e: logger.error(f""Server error: {str(e)}"") sys.exit(1) finally: logger.info(""Server terminated"")

# MCPサーバーの依存関係 fastmcp>=0.1.0 pyyaml>=6.0 cfn-lint>=0.80.0

[bash] pip install -r requirements.txt

[markdown] # IaC Validator Power CloudFormationテンプレートのセキュリティチェックを自動化するKiro Powerです。 ## 機能 - cfn-lintによる構文チェック - cfn-nagによるセキュリティスキャン - AWS基礎セキュリティのベストプラクティスチェック - CloudFormationリソース一覧の表示 ## 提供するツール ### check_cloudformation CloudFormationテンプレートの総合チェックを実行します。 **引数：** - file_path (string): チェックするCloudFormationファイルのパス **戻り値：** - チェック結果の詳細レポート（文字列） ### list_resources CloudFormationテンプレート内のリソース一覧を取得します。 **引数：** - file_path (string): CloudFormationファイルのパス **戻り値：** - リソース一覧（文字列） ## インストール方法 ### 前提条件 以下のツールがインストールされている必要があります： - Python 3.9以上 - Ruby（cfn-nag用） ### ツールのインストール Python依存関係のインストール pip install fastmcp pyyaml cfn-lint cfn-nagのインストール gem install cfn-nag ### Powerのインストール 1. このフォルダを `.kiro/powers/iac-validator/` にコピー 2. Kiroを再起動 3. コマンドパレットから「MCP Server」を確認し、`iac-checker`が表示されることを確認 ## 使い方 Kiroに以下のように依頼してください： 「sample.yamlをIaC Validatorでチェックして」 または、具体的にツール名を指定： 「check_cloudformationツールを使って、sample.yamlをチェックして」 リソース一覧を確認する場合： 「sample.yamlのリソース一覧を表示して」 ## チェック項目 ### セキュリティチェック（cfn-nag） - セキュリティグループで 0.0.0.0/0 を許可していないか - S3バケットのパブリックアクセスが無効か - S3バケットの暗号化が有効か - RDSの暗号化が有効か - パスワードがハードコードされていないか ### 構文チェック（cfn-lint） - CloudFormationの構文が正しいか - リソースプロパティが正しいか - ベストプラクティスに準拠しているか ## トラブルシューティング ### cfn-lintが見つからない pip install cfn-lint cfn-lint --version ### cfn-nagが見つかりません gem install cfn-nag cfn_nag --version ### FastMCPが見つからない pip install fastmcp python -c ""import mcp.server.fastmcp; print('OK')"" ### Powerが認識されない 1. Kiroを完全に終了 2. `.kiro/powers/iac-validator/` にファイルがあることを確認 3. `mcp-server/server.py` が実行可能であることを確認 4. Kiroを再起動 5. コマンドパレットから「MCP Server」を確認 ### MCPサーバーのログを確認 サーバーの動作ログは標準出力に表示されます。 問題が発生した場合は、以下のコマンドで直接サーバーを起動してログを確認できます： cd .kiro/powers/iac-validator/mcp-server python server.py ## 技術詳細 ### 使用ライブラリ - **FastMCP**: MCPプロトコルの実装を簡略化 - **PyYAML**: CloudFormationファイル（YAML）の解析 - **cfn-lint**: CloudFormation構文チェック - **cfn-nag**: セキュリティスキャン（Ruby gem） ### 通信方式 - Server-Sent Events（SSE）による双方向通信 - デフォルトポート: 8080（環境変数PORTで変更可能）

.kiro/powers/iac-validator/ ├── POWER.json ├── POWER.md └── mcp-server/ ├── server.py └── requirements.txt

[yaml] AWSTemplateFormatVersion: '2010-09-09' Description: セキュリティ問題を含むサンプル Resources: # 問題1: 0.0.0.0/0 を許可 BadSecurityGroup: Type: AWS::EC2::SecurityGroup Properties: GroupDescription: Bad example SecurityGroupIngress: - IpProtocol: tcp FromPort: 22 ToPort: 22 CidrIp: 0.0.0.0/0 # 危険！全世界からSSH接続可能 # 問題2: 暗号化なし BadS3Bucket: Type: AWS::S3::Bucket Properties: BucketName: my-bad-bucket # BucketEncryption が設定されていない # PublicAccessBlockConfiguration も設定されていない # 問題3: パブリックアクセス可能なRDS BadRDSInstance: Type: AWS::RDS::DBInstance Properties: DBInstanceIdentifier: my-bad-db Engine: postgres MasterUsername: admin MasterUserPassword: password123 # 危険！パスワードがハードコード PubliclyAccessible: true # 危険！パブリックアクセス可能 StorageEncrypted: false # 危険！暗号化なし

「sample-bad.yamlをIaC Validatorでチェックしてください」

【CloudFormationチェック結果】 === cfn-lintの結果 === ✓ 構文エラーなし CloudFormationの構文は正しいです。 === cfn-nagの結果 === ⚠ 警告が6件見つかりました： 1. BadSecurityGroup (AWS::EC2::SecurityGroup) 問題: セキュリティグループで 0.0.0.0/0 を許可 詳細: SSH（ポート22）が全世界に公開されています 重大度: 高 推奨: 特定のIPアドレス範囲に制限してください 2. BadS3Bucket (AWS::S3::Bucket) 問題: S3バケットの暗号化が設定されていない 詳細: BucketEncryptionプロパティが未設定 重大度: 高 推奨: AES256またはKMSで暗号化を有効にしてください 3. BadS3Bucket (AWS::S3::Bucket) 問題: パブリックアクセスブロックが設定されていない 詳細: PublicAccessBlockConfigurationが未設定 重大度: 高 推奨: すべてのパブリックアクセスをブロックしてください 4. BadRDSInstance (AWS::RDS::DBInstance) 問題: RDSインスタンスがパブリックアクセス可能 詳細: PubliclyAccessible: true 重大度: 高 推奨: PubliclyAccessible: false に設定してください 5. BadRDSInstance (AWS::RDS::DBInstance) 問題: RDSの暗号化が無効 詳細: StorageEncrypted: false 重大度: 高 推奨: StorageEncrypted: true に設定してください 6. BadRDSInstance (AWS::RDS::DBInstance) 問題: パスワードがハードコードされている 詳細: MasterUserPasswordにプレーンテキストで記載 重大度: 高 推奨: Secrets Managerを使用してください 【総合評価】 ✗ セキュリティ問題が検出されました 修正が必要な項目: 6件

[yaml] AWSTemplateFormatVersion: '2010-09-09' Description: セキュリティ対策済みサンプル Parameters: AllowedCidr: Type: String Default: 10.0.0.0/16 Description: 許可するIPアドレス範囲 Resources: # 修正1: 特定のIPアドレス範囲のみ許可 GoodSecurityGroup: Type: AWS::EC2::SecurityGroup Properties: GroupDescription: Good example SecurityGroupIngress: - IpProtocol: tcp FromPort: 22 ToPort: 22 CidrIp: !Ref AllowedCidr # 社内ネットワークのみ Description: ""Allow SSH from internal network"" # 修正2: 暗号化とパブリックアクセスブロックを設定 GoodS3Bucket: Type: AWS::S3::Bucket Properties: BucketName: my-good-bucket PublicAccessBlockConfiguration: BlockPublicAcls: true BlockPublicPolicy: true IgnorePublicAcls: true RestrictPublicBuckets: true BucketEncryption: ServerSideEncryptionConfiguration: - ServerSideEncryptionByDefault: SSEAlgorithm: AES256 VersioningConfiguration: Status: Enabled # 修正3: プライベートアクセス、暗号化有効、Secrets Manager使用 GoodRDSInstance: Type: AWS::RDS::DBInstance Properties: DBInstanceIdentifier: my-good-db Engine: postgres MasterUsername: admin MasterUserPassword: !Sub '{{resolve:secretsmanager:${DBSecret}:SecretString:password}}' PubliclyAccessible: false # プライベートアクセスのみ StorageEncrypted: true # 暗号化有効 BackupRetentionPeriod: 7 MultiAZ: true # Secrets Managerでパスワード管理 DBSecret: Type: AWS::SecretsManager::Secret Properties: Description: RDS database password GenerateSecretString: SecretStringTemplate: '{""username"": ""admin""}' GenerateStringKey: ""password"" PasswordLength: 32 ExcludeCharacters: '""@/\'

【CloudFormationチェック結果】 === cfn-lintの結果 === ✓ 構文エラーなし === cfn-nagの結果 === ✓ セキュリティ問題なし 【総合評価】 ✓ すべてのチェックに合格しました AWS基礎セキュリティのベストプラクティスに準拠しています

iac-validator-power/ ├── README.md # インストール手順 ├── POWER.json ├── POWER.md └── mcp-server/ ├── server.py └── requirements.txt

[markdown] # IaC Validator Power CloudFormationテンプレートのセキュリティチェックを自動化するKiro Powerです。 ## インストール方法 ### 1. 前提条件 以下のツールがインストールされている必要があります： - Python 3.9以上 - Ruby（cfn-nag用） ### 2. 必要なツールのインストール Python依存関係のインストール pip install fastmcp pyyaml cfn-lint cfn-nagのインストール gem install cfn-nag ### 3. Powerのインストール 1. このフォルダを `.kiro/powers/iac-validator/` にコピー 2. Kiroを再起動 3. コマンドパレットから「MCP Server」を確認し、`iac-checker`が表示されることを確認 ### 4. 動作確認 Kiroに以下のように依頼してください： 「sample.yamlをIaC Validatorでチェックして」 ## 提供するツール - **check_cloudformation**: CloudFormationテンプレートの総合チェック - **list_resources**: テンプレート内のリソース一覧表示 ## トラブルシューティング ### cfn-lintが見つからない pip install cfn-lint cfn-lint --version ### cfn-nagが見つかりません gem install cfn-nag cfn_nag --version ### FastMCPが見つからない pip install fastmcp python -c ""import mcp.server.fastmcp; print('OK')"" ### Powerが認識されない 1. Kiroを完全に終了 2. `.kiro/powers/iac-validator/` にファイルがあることを確認 3. `mcp-server/server.py` が実行可能であることを確認 4. Kiroを再起動 5. コマンドパレットから「MCP Server」を確認 ### MCPサーバーのログを確認 cd .kiro/powers/iac-validator/mcp-server python server.py ## サポート 問題が発生した場合は、チーム内のSlackチャンネル #kiro-support までご連絡ください。

[bash] # Powerをリポジトリに追加 git add .kiro/powers/iac-validator/ git commit -m ""Add IaC Validator Power for CloudFormation security checks"" git push # チームメンバーは git pull # Kiroを再起動

[markdown] # IaC Validator Power 運用ルール ## 使用タイミング - CloudFormationファイルを作成・修正したとき - プルリクエストを作成する前 - デプロイ前の最終確認 ## チェック結果の扱い - 高重大度の問題：必ず修正 - 中重大度の問題：原則修正（例外は要承認） - 低重大度の問題：推奨修正 ## 例外承認プロセス 1. チェック結果をプルリクエストに添付 2. 理由を明記 3. チームリーダーの承認を得る ## サポート - Slackチャンネル：#kiro-support - 担当者：@tech-lead

.kiro/powers/iac-validator/ ├── POWER.json # Power設定ファイル ├── POWER.md # ドキュメント └── mcp-server/ ├── server.py # MCPサーバー本体 └── requirements.txt # Python依存関係