2026-07-24 tfpolicyを試してみたのですが、、、、

社内勉強会でtfplanをざっくり調べた結果の共有

https://www.hashicorp.com/ja/blog/introducing-tfpolicy-a-declarative-policy-workflow-built-for-terraform
https://developer.hashicorp.com/terraform/policy

Transcript

1. tfpolicyを試してみたのですが、、、、 2026-07-24 社内エンジニア勉強会 すずきまさし Copyright © 3-shake, Inc. All Rights Reserved.
2. おまえだれよ • • • すずきまさし/masasuzu/@masasuz 株式会社スリーシェイクSreake事業部シニアアーキテクト クラウドインフラなんでも屋さんをしてます ◦ ◦ • お客様の外部から ▪ 設計、運用、構築等の技術支援を行います。 お客様の内部から ▪ インフラチームの一員として内製化支援も行います。 得意領域 ◦ ◦ ◦ AWS ▪ AWS Community Builder Cloud Operation Since 2024~2026 ▪ 2025 Japan All AWS Certifications Engineers Google Cloud ▪ Google Cloud Partner Top Engineer 2026 Terraform Copyright © 3-shake, Inc. All Rights Reserved. 2
3. 目次 • • • tfpolicyとは Policy as Codeとは tfpolicy使ってみた Copyright © 3-shake, Inc. All Rights Reserved. 3
4. 01 tfpolicyとは Copyright © 3-shake, Inc. All Rights Reserved. 4
5. 突然のIntroducing tfpolicyとは • 宣言型HCLベースのPolicy as Code • パブリックベータ • Sentinelを置き換える? • v0.1.0 ◦ https://releases.hashicorp.com/tfpolic y/0.1.0/ • Skill ◦ https://github.com/hashicorp/agent-sk ills • ドキュメント ◦ https://developer.hashicorp.com/terraf orm/policy Copyright © 3-shake, Inc. All Rights Reserved. https://www.hashicorp.com/ja/blog/introducing-tfpolicy-a-declarative-policy-workflow-built-for-terraform 5
6. 02 Policy as Codeとは Copyright © 3-shake, Inc. All Rights Reserved. 6
7. Policy as Codeとは • • • 組織のルールやガバナンス要件を コード で表現し、チェック・強制するもの ◦ e.g. S3の暗号化必須、リージョンは東京のみ等 機械が自動チェック・強制することで人間によるミスを防ぐ CIと組み合わせることでデリバリー前にチェックを効かせられる Copyright © 3-shake, Inc. All Rights Reserved. 7
8. 狭義のPolicy as CodeではないがTerraformのガバナンスを効かせるツール • • • • 構文チェック ◦ terraform validate フォーマッター ◦ terraform fmt Linter ◦ TFLint 静的スキャナ ◦ trivy config(旧tfsec)/ Checov Copyright © 3-shake, Inc. All Rights Reserved. 8
9. tfpolicy以外のPaCツール • • Open Policy Agent ◦ Rego ◦ OSS Sentinel ◦ Sentinel policy language ◦ HPC Terraform/Terraform Enterprise前提 Copyright © 3-shake, Inc. All Rights Reserved. 9
10. 03 tfpolicy試してみた Copyright © 3-shake, Inc. All Rights Reserved. 10
11. セットアップ • https://releases.hashicorp.com/tfpolicy/0.1.0/ からダウンロード Copyright © 3-shake, Inc. All Rights Reserved. 11
12. ポリシーを書く • • • provider/resource/moduleに対してポリシーが書けます。 下記はaws_ebs_volumeリソースに対して暗号化を強制するポリシー https://developer.hashicorp.com/terraform/policy/reference/policy policies/ebs_encription.policy.hcl Copyright © 3-shake, Inc. All Rights Reserved. 12
13. ポリシーをテストする • tfpolicy testコマンドでポリシーのテストができる ◦ --policies ポリシーディレクトリを指定 ◦ --tests テストディレクトリを指定 実行結果 tests/ebs_encription.policytest.hcl policies/ebs_encription.policy.hcl Copyright © 3-shake, Inc. All Rights Reserved. 13
14. じゃあ、実際のtfファイルがポリシーに沿っているか確認したい • • • • • どうやるの? https://developer.hashicorp.com/terraform/cloud-docs/workspaces/policy-enforcement HCP Terraformが前提の記述しか見つけられない。。。。 terraform plan実行時にポリシーチェックとかできないの ? tfpolicy check 的なコマンドない ? Copyright © 3-shake, Inc. All Rights Reserved. 14
15. ないっぽい(2026/07/26現在) 1.16.0-alpha20260715では terraofrm plan –policiesオプションがあるが、実行時に entitlementが要求される。 tfpolicyは現状HCP Terraform前提になっているっぽい。 Copyright © 3-shake, Inc. All Rights Reserved. 15
16. 04 まとめ Copyright © 3-shake, Inc. All Rights Reserved. 16
17. まとめ • • • • 新しいtfpolicyというterraform用のPaCツールが発表されました。 ポリシーとそのテストは現状書けます。 HCP Terraformを使用することが現状は前提 HCP Terraformなくても使えるようになるように期待してる Copyright © 3-shake, Inc. All Rights Reserved. 17