はじめに
クラウドネイティブ時代において、開発（Dev）・運用（Ops）・セキュリティ（Sec）は分離できません。 その統合モデルがDevSecOpsです。
本記事では、以下を統合した実践ロードマップを提示します：
- AWSクラウド基盤
- Kubernetes（EKS）
- ゼロトラストセキュリティ
- CI/CDとサプライチェーン防御
1. DevSecOps全体アーキテクチャ
[Developer] ↓ [Git] ↓ [CI/CD] ↓ [Artifact Registry] ↓ [Kubernetes] ↓ [Runtime Monitoring] 各レイヤーにセキュリティを組み込みます。
2. フェーズ別ロードマップ
Phase 1：基盤構築（Cloud & IAM）
- AWS Organizationsでマルチアカウント構成
- IAMロール設計（最小権限）
- VPC / Private Subnet構成
Phase 2：開発環境とIaC
- Terraformでインフラコード化
- Sentinel / OPAでポリシー制御
Phase 3：CI/CDセキュリティ
- GitHub Actions / CodePipeline
- OIDC認証（鍵レス）
- 依存関係スキャン（Trivy）
Phase 4：サプライチェーン防御
- Sigstore（cosign）署名
- SBOM生成
- SLSA Level 2〜3達成
Phase 5：Kubernetesセキュリティ
- PSA（Pod Security Admission）
- OPA Gatekeeper
- NetworkPolicy
Phase 6：ゼロトラスト実装
- SPIFFE / SPIRE（Workload Identity）
- Service Mesh（Istio）
- mTLS通信
Phase 7：ランタイム防御
- Falco（eBPF）
- SIEM連携
Phase 8：可観測性と監査
- CloudWatch / Prometheus
- CloudTrail / Audit Logs
3. セキュリティレイヤー統合モデル
コード → IaC → CI → Build → Sign → Deploy → Runtime ↓ ↓ ↓ ↓ ↓ ↓ ↓ Scan Policy Verify SBOM Verify Admission Detect すべての工程で検証を行います。
4. 技術スタックまとめ
| 領域 | ツール |
|---|---|
| IaC | Terraform |
| Policy | Sentinel / OPA |
| CI/CD | GitHub Actions |
| 署名 | Sigstore（cosign） |
| K8s制御 | PSA / Gatekeeper |
| ID管理 | SPIFFE / SPIRE |
| 通信 | Istio |
| Runtime | Falco |
5. 成熟度モデル（簡易版）
| レベル | 状態 |
|---|---|
| Level 1 | 手動運用 |
| Level 2 | CI/CD導入 |
| Level 3 | セキュリティ統合 |
| Level 4 | ゼロトラスト |
6. 実務導入のコツ
- 一気にやらない（段階導入）
- CI/CDから着手
- 自動化を最優先
まとめ
- DevSecOpsは単なるツール導入ではない
- 全工程にセキュリティを組み込むことが重要
- ゼロトラストが最終形
このロードマップをベースにすれば、現代のクラウドセキュリティ要件を満たす基盤を構築できます。
