実践編：ステアリングファイルとKiro Powerで実現するIaC品質管理

1. Kiroに「VPC用のCloudFormationを作って」と依頼 ↓ ステアリングファイルが自動適用 2. Kiroがガイドラインに沿ってコード生成 ↓ セキュリティ設定も考慮済み 3. 「IaC Validatorでチェックして」と依頼 ↓ Powerが自動実行 4. セキュリティ問題を自動検出 ↓ 問題があれば修正提案 5. 高品質なCloudFormationテンプレートが完成

{環境}-{リソース種別}.yaml 例： - prod-network.yaml - dev-database.yaml - stg-servers.yaml

[yaml] WebServerSecurityGroup: Type: AWS::EC2::SecurityGroup Properties: GroupDescription: ""Security group for web servers"" VpcId: !Ref VPC SecurityGroupIngress: - IpProtocol: tcp FromPort: 443 ToPort: 443 CidrIp: 10.0.0.0/16 Description: ""Allow HTTPS from VPC""

[yaml] WebServerSecurityGroup: Type: AWS::EC2::SecurityGroup Properties: SecurityGroupIngress: - IpProtocol: tcp FromPort: 22 ToPort: 22 CidrIp: 0.0.0.0/0 # 危険！全世界からSSH接続可能

[yaml] S3Bucket: Type: AWS::S3::Bucket Properties: BucketName: !Sub '${Environment}-${ProjectName}-bucket' PublicAccessBlockConfiguration: BlockPublicAcls: true BlockPublicPolicy: true BucketEncryption: ServerSideEncryptionConfiguration: - ServerSideEncryptionByDefault: SSEAlgorithm: AES256 VersioningConfiguration: Status: Enabled

[yaml] RDSInstance: Type: AWS::RDS::DBInstance Properties: DBInstanceIdentifier: !Sub '${Environment}-${ProjectName}-db' Engine: postgres StorageEncrypted: true PubliclyAccessible: false BackupRetentionPeriod: 7 MultiAZ: !If [IsProduction, true, false]

[markdown] --- inclusion: fileMatch fileMatchPattern: '*.yaml' --- # CloudFormationコーディング規約 このステアリングファイルは、CloudFormationテンプレートを作成する際のガイドラインです。 AWS基礎セキュリティのベストプラクティスに準拠し、チーム全体で統一された品質を保ちます。 ## ファイル分割ルール ### Route53（route53.yaml） - 含めるリソース: Route53ホストゾーン - 理由: AWS内で作成に時間がかかるため、最初に実行する - 命名規則: `{環境}-route53.yaml`（例：prod-route53.yaml） ### ネットワーク（network.yaml） - 含めるリソース: VPC、サブネット、インターネットゲートウェイ、NATゲートウェイ - 理由: ネットワーク層を分離して可読性を向上 - 命名規則: `{環境}-network.yaml`（例：prod-network.yaml） ### セキュリティグループ（security-groups.yaml） - 含めるリソース: すべてのセキュリティグループ - 理由: セキュリティ設定を一元管理し、見落としを防ぐ - 命名規則: `{環境}-security-groups.yaml`（例：prod-security-groups.yaml） ### サーバ（servers.yaml） - 含めるリソース: EC2インスタンス、ALB、Auto Scaling - 理由: サーバリソースをまとめて管理 - 命名規則: `{環境}-servers.yaml`（例：prod-servers.yaml） ### データベース（database.yaml） - 含めるリソース: RDS、DynamoDB、ElastiCache - 理由: データベース層を分離して管理 - 命名規則: `{環境}-database.yaml`（例：prod-database.yaml） ## セキュリティルール ### セキュリティグループ - ルール1: 0.0.0.0/0 からのアクセスを許可しない（特にSSH、RDP） - ルール2: 必要最小限のポートのみ開放 - ルール3: 説明（Description）を必ず記載 ### S3バケット - ルール1: パブリックアクセスを無効化 - ルール2: 暗号化を有効化（AES256またはKMS） - ルール3: バージョニングを有効化（本番環境は必須） ### RDS - ルール1: 暗号化を有効化（StorageEncrypted: true） - ルール2: パブリックアクセスを無効化（PubliclyAccessible: false） - ルール3: バックアップを有効化（BackupRetentionPeriod: 7以上） - ルール4: マルチAZ構成（本番環境は必須） ### タグ付け すべてのリソースに以下のタグを付与： Tags: - Key: Environment Value: !Ref Environment - Key: Project Value: !Ref ProjectName - Key: ManagedBy Value: CloudFormation ### 命名規則 - リソース名: `{環境}-{プロジェクト名}-{リソース種別}` - 例: `prod-myapp-vpc`、`dev-myapp-rds` - 小文字とハイフンを使用 ## 次のステップ：Kiro Powerとの連携 このステアリングファイルは「ガイドライン」を提供しますが、 実際のセキュリティチェックには「Kiro Power（IaC Validator）」が必要です。 Kiro Powerを使えば、cfn-lintやcfn-nagを使った自動チェックが可能になります。

[bash] mkdir -p .kiro/steering # ステアリングファイルを配置

「本番環境用のVPCをCloudFormationで作成してください。 ファイル名はprod-network.yamlにしてください。」

「prod-network.yamlをIaC Validatorでチェックしてください」

【CloudFormationチェック結果】 ファイル: prod-network.yaml === cfn-lintの結果 === ✓ 構文エラーなし === cfn-nagの結果 === ✓ セキュリティ問題なし 【総合評価】 ✓ すべてのチェックに合格しました

開発者：「S3バケットを追加したいです」 ↓ Kiro：「どのような用途のバケットですか？」 ↓ 開発者：「ログ保存用です」 ↓ Kiro：（ステアリングファイルに基づいて） 「ログ保存用のS3バケットを作成します。 - パブリックアクセスをブロック - 暗号化を有効化 よろしいですか？」 ↓ 開発者：「はい、お願いします」 ↓ Kiro：（コード生成） ↓ 開発者：「IaC Validatorでチェックして」 ↓ Kiro：（自動チェック実行） 「✓ すべてのチェックに合格しました」 ↓ 開発者：コミット＆プッシュ

cloudformation/ ├── prod-network.yaml ├── prod-security-groups.yaml ├── prod-servers.yaml ├── prod-database.yaml └── README.md

開発者：「本番環境用のVPCをCloudFormationで作成してください。 ファイル名はprod-network.yamlにしてください。 - パブリックサブネット2つ（AZ分散） - プライベートサブネット2つ（AZ分散） - NATゲートウェイを各AZに配置」

開発者：「prod-network.yamlをIaC Validatorでチェックして」 Kiro：「✓ すべてのチェックに合格しました」

開発者：「セキュリティグループをCloudFormationで作成してください。 ファイル名はprod-security-groups.yamlにしてください。 - ALB用（HTTPSのみ許可） - Webサーバ用（ALBからのみ許可） - RDS用（Webサーバからのみ許可）」

開発者：「EC2とALBをCloudFormationで作成してください。 ファイル名はprod-servers.yamlにしてください。」

開発者：「PostgreSQL用のRDSをCloudFormationで作成してください。 ファイル名はprod-database.yamlにしてください。 - 暗号化を有効化 - マルチAZ構成」