アプリケーション開発者自身でも手軽にIT環境を構築し、利用できるパブリッククラウド。しかし、手軽であるがゆえに、設計ミスや設定漏れなどに起因するセキュリティインシデントも起こりやすい。サービス間で機能や設定項目が異なるマルチクラウド環境になれば、この問題はますます複雑化するだろう。 これまであまりセキュリティを意識してこなかった開発者やエンジニアも、これからはセキュリティ意識を高め、対策の一翼を担う必要に迫られている。だが、マルチクラウド環境において網羅性のあるセキュリティ対策を実行するにはどうすればよいか、開発者の立場で特に注意すべき点とは何か、手がかりなしで考えることは難しい。 今回は、OCIを始めとするマルチクラウドを活用している野村総合研究所（NRI）において、クラウド利用時のセキュリティガイドライン策定を担当する佐古伸晃氏に、これからの開発者がセキュリティ対策において担う役割や、

Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2020-05-26 07:30 Gitを利用したDevOps製品を提供しているGitLabは、毎年行っているDevSecOpsに関する調査の結果を発表した（4回目、回答者は21カ国3650人）。調査では、DevOpsの流行が「開発チーム、セキュリティチーム、運用チーム内の職務権限やツールの選択、組織図を大きく変えている」ことが明らかになった。 開発者のほとんどは、DevOpsはソフトウェアのリリースまでにかかる時間の短縮に役立っていると考えている。調査によれば、開発者に83％近くが、DevOpsによってコードを短時間でリリースできていると回答していた。 継続的インテグレーションと継続的デリバリー（CI/CD）も、ビルドとデプロイにかかる時間の短縮に貢献しているようだ。

時は流れ、システム開発の流れは大きく変化しつつある。今やデジタルトランスフォーメーションの実現を視野に入れ、さまざまな企業でアジャイル開発やDevOpsといった開発スタイルが広がってきた。これとともにインフラ基盤も、オンプレミスのサーバから、クラウドやコンテナ、マイクロサービスへと、その主流が変わりつつある。 こうした新しい環境を前に、セキュリティバイデザインという考え方をどのように発展させ、適用させていけばいいのだろうか。医療・ライフサイエンス業界のセキュリティやガバナンスに広い知見を持ち、クラウドセキュリティアライアンス（CSA）などの業界団体でも活動する笹原英司氏に尋ねた。 DevとOpsのエコシステムを前提にセキュリティバイデザインの検討を コンテナ環境やマイクロサービスを前提としたアプリケーション開発には、セキュリティ面でどのような課題があり、どう進めていけばいいのか――これはグ

DevOpsは単なる技術的な取り組みではなく、ビジネスにおける提案でもある。DevOpsでは、ソフトウェアの開発プロセスや配備プロセスを総体的な観点から俯瞰（ふかん）できるようにするハイブリッドなスキルが求められる。半数以上の企業（52％）がDevOpsのスキルを有した人材の採用を加速させる意向を示している一方、3分の2近くの企業（65％）がこうしたスキルを併せ持った人材を見つけるのが困難だと回答している。 これは、1260人を超えるマネージャーを対象にDevOps Instituteが実施した調査で明らかになった重要な点だ。同調査では、DevOpsイニシアティブで最も求められているスキルとして、プロセスに関するスキルや知識が挙げられており、前年の調査で最も求められていた自動化スキルを上回る結果となった。また、DevOpsの採用と、アジャイル、サイトリライアビリティエンジニアリング（SRE

出典：日経クロステック、2020年2月13日 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 「コンテナ」技術を業務システムの開発、運用に取り入れる企業が増えている。「Docker（ドッカー）」に代表されるコンテナは仮想化技術により「アプリとその実行環境を丸ごとパッケージングできる」特徴を持つ。アプリを高速に開発、改善したいという昨今の「DX（デジタルトランスフォーメーション）」案件を中心に、そのポータビリティーの高さが評価されてきた。 ここにきてコンテナの普及を強く後押ししているのが、複数のコンテナをまとめて管理するコンテナオーケストレーションツールの充実だ。「Kubernetes（クーバネティス）」がデファクトの地位にあり、各ベンダーが普及を促す形になっている。 Kubernetesの基となったのは、米グーグル（Google）が自社サービスの管理に向けて開発した「B

みなさんコンテナを使うことの意味を自信もって答えられるでしょうか？ ここ1年ほどコンテナ関連の仕事をメインでやっているハマコーですが、いろんなお客様からこういったお声をいただくことが多くありました。 「それはコンテナ化する意味があるの？」 「こんなコンテナ運用は危ない？」 「ECSの設定とか実際めんどい。docker runじゃだめ？」 「EKSって使えんの？」 そういう声を聴く中で、自分なりの答えを模索していたわけですが、岡山での弊社イベントAWS最新技術の祭典Developers.IO 2019 at 岡山城へ登壇するにあたり、そのあたりのもやもやを自分なりに昇華したのが、本日の内容です。 「このアプリをコンテナ化する意味があるのか、わからない」 「コンテナ化することで余計めんどくさくなった」 「AWSのコンテナサービスの何を使ったら良いのかわからない」 という悩みを抱えている方には、

トレンドマイクロが8月22日に発表した「DevOpsに関する実態調査 2019」によると、DevOps(開発部門と運用部門が連携するシステム開発)を実施または実施意向がある国内法人組織のIT部門責任者のうち、95.0%が開発部門と運用部門間のコミュニケーションに改善の必要があると考えているという。 組織内の開発部門と運用部門間のコミュニケーションにおける改善の要否 同調査は同社が、DevOpsを実施または実施意向がある,従業員500人以上の法人組織におけるIT部門の責任者1310人(日本を含む16か国、うち日本の法人組織は100人)を対象として、2019年4月から5月にかけて実施したもの。 調査対象国は、イギリス、フランス、ドイツ、イタリア、スペイン、デンマーク、ノルウェイ、スウェーデン、スイス、アメリカ、ブラジル、メキシコ、カナダ、オーストラリア、ニュージーランド、日本。 開発部門と運用

ちなみに、IT業界全体のシェアとしてはMicrosoftのAzureの方がGCPを上回っていますが、Web業界においてIaaSにAzureを採用している企業さんは2019年時点ではまだまだ少ないので、現状ではとりあえずAzureへのキャッチアップは後回しにしておいて問題ないと思われます。 クラウドアーキテクチャ設計 前述したAWSやGCPの各種マネージドサービスを適切に組み合わせてアーキテクチャ設計を行い、それを構成図に落とし込める能力は必須となります。 いわゆる「アーキテクト」という職種の担当領域でもありますが、「サービスを安定稼働させたまま、バリューをユーザに迅速に届ける」ためには、自動化のしづらい構成が採用されてしまったり、無駄な機能が開発されてしまったり、アンマネージドなツールやサービスが使用されて管理工数が肥大化したりしないように、アーキテクチャ設計の段階からDevOpsエンジニ

JAWS DAYS 2019では、EC2からKubernetesに移行中のfreeeがセキュリティやモニタリングについて説明するセッションが披露された。スタートアップ企業である以上、ビジネスのスピードも重要な要素。一定のリスクを犯しながら高いセキュリティを実現するという、バランスを追求しながらのタスクになる。「EC2からKubernetesへの移行をセキュリティ/モニタリングから考える」と題するセッションではその取り組みの一端が紹介された。 AWSの機能やサードパーティのツールを活用して基盤を保護 「スモールビジネスを世界の主役に」というミッションを掲げてクラウドベースの会計・人事労務サービスを展開しているfreeeにとって、セキュリティの確保は至上命題だ。多数の金融機関と連携し、決済・会計に関する情報をリアルタイムに扱っているだけでなく、電子決済・振り込み業務も担い始めた同社から情報が漏

Kubernetesは、数十から数百といったコンテナからなるアプリケーションのデプロイや管理、死活管理といった運用を支える機能を備えています。主な機能や仕組みを紹介します。 コンテナ型仮想化のDockerを管理するフレームワークとして、Googleがオープンソースとして公開したKubernetesが急速に注目を集めています。KubernetesのプロジェクトにはDocker本体はもちろん、マイクロソフトやレッドハット、IBM、VMwareなどが参加を表明しており、事実上の標準になりそうな勢いです。 Kubernetesはどのような機能を持ち、仕組みはどうなっているのか。有志により都内で開催された「第20回 PaaS勉強会」の草間一人氏のセッション「Kubernetesを触ってみた」の内容をダイジェストで紹介します。 NTTコミュニケーションズという会社で、Cloudn PaaSというClo

私はソフトウェアの専門家としてお答えすると、ウォータフォールは何のメリットも無いというのが私の意見であることを共有しておきたい。そういう意見に至った経緯をこのブログで書き留めて置きたい。 尚、これは所属会社の見解ではないことは明確にしておきます。 サム・グッケンハイマーの一言 私は DevOpsのエバンジェリストで、それ以前からアジャイル開発をかれこれ１５年ぐらい実施し、導入の支援をしている。私はかつては、日本の環境の制約の中で如何にアジャイル開発のメリットを最大に引き出すか？ということを考えていた。 ウォーターフォールに対する立場も、真っ向から否定するものでもなく、現状もあるし、それに慣れている人もいるし、実際ウォーターフォールでも失敗しない人も居る。だから、人にウォータフォールのメリット・デメリットを聞かれた時も「変化しないものに関してはウォータフォールはいいのかもしれない」と回答して

先日こんなことを言われた。 「テストを書いた成果を見せよ」 と。 ショッキングだった。 経緯 わたしはいまレガシーなコードに囲まれている。 もちろんテストもほとんどないピカピカのレガシーちゃんである。 レガシーちゃんは「Ctrl+F5 & tail -f 駆動開発」により開発が進められており、日々進化している。 このまま進化をつづけるといつかモンスターになり(もう軽く怪獣っぽいが)、開発スピードがどんどん遅くなり、メンテナンスやバグつぶしでエンハンスとなるような開発ができなくなる。このままじゃマズい...。 こういった事態を一新すべく、手探りながら私含め数人の先輩たちで「DevOps」に取りかかることになった。 バズワードにもなっているが「DevOps」とは、 従来型のシステム管理や調達（ITILを含む）といった、保守的でプロセスを中心に据えた運用からよ>り戦略的でアジャイルな、そして自動

「Vagrant」は仮想環境をプログラミングするツール。同一環境をどこにでも、いくつでもすぐに作成可能。Vagrant meetup 2013 「Vagrant」（ベイグラント、ベーグラント）は、仮想環境をプログラミングするツール、と言えます。一般にWebアプリケーションの開発、テスト、本番運用などのための環境を用意するには、仮想マシンを起動し、OS、WebサーバやPHP、Rubyなどをインストールし、ChefやPuppetなどでアプリケーションをデプロイするといった操作が必要でした。 毎回操作してこれらの環境を作るのは面倒ですしミスをする可能性もあります。かといってあらかじめ仮想マシンとしてまるごと用意しておくと、少しでも環境が変わるたびに仮想マシンを最初から作り直す手間がかかりますし、配布も面倒です。 Vagrantはこうした問題を、仮想マシンのテンプレートとそれを構成するためのコンフ