IT サービスプロビジョニング - AWS Service Catalog で実現するセルフサービス型インフラ提供
AWS Service Catalog による承認済み IT サービスのカタログ化と、CloudFormation との連携によるセルフサービス型インフラプロビジョニングを解説します。ガバナンスを維持しながら開発チームの自律性を高める運用パターンを紹介します。
IT サービスプロビジョニングの課題と Service Catalog
エンタープライズ環境では、開発チームが必要なインフラリソースを迅速に利用できる一方で、セキュリティ基準やコンプライアンス要件への準拠を確保する必要があります。従来の IT 部門による手動プロビジョニングでは、リクエストから提供までに数日から数週間かかることがあり、開発速度のボトルネックとなっていました。AWS Service Catalog は、IT 管理者が承認済みの AWS リソース構成をカタログとして公開し、エンドユーザーがセルフサービスでプロビジョニングできるサービスです。CloudFormation テンプレートを製品として登録し、ポートフォリオにグループ化して特定のユーザーやグループに公開します。エンドユーザーは承認済みの製品リストから必要なリソースを選択し、パラメータを入力するだけでインフラを即座にプロビジョニングできます。IT 管理者はテンプレートの内容を制御することで、セキュリティ基準への準拠を自動的に保証します。CLI で製品一覧を確認するには aws servicecatalog search-products --region ap-northeast-1 を実行します。
製品とポートフォリオの設計
Service Catalog の製品は CloudFormation テンプレートをベースに定義され、バージョン管理により段階的な改善が可能です。たとえば、「セキュアな Web アプリケーション環境」という製品には、VPC、サブネット、セキュリティグループ、ALB、EC2Auto Scaling グループ、RDS インスタンスを含む CloudFormation テンプレートを登録します。製品のパラメータとして環境名、インスタンスタイプ、データベースサイズなどをエンドユーザーが選択できるようにし、制約条件でインスタンスタイプの選択肢を制限することでコスト管理を実現します。ポートフォリオは製品のコレクションで、IAM グループやロールに関連付けてアクセス制御を行います。開発チーム向けポートフォリオには開発環境用の製品を、データサイエンスチーム向けには SageMaker ノートブック環境の製品を公開するなど、チームの役割に応じた製品提供が可能です。
CloudFormation との連携とガバナンスの確保
Service Catalog は CloudFormation をバックエンドとして使用するため、 Infrastructure as Code のベストプラクティスをそのまま適用できます。テンプレートに AWS Config ルール、 CloudTrail ログ、暗号化設定を組み込むことで、プロビジョニングされるすべてのリソースがセキュリティ基準に準拠することを保証します。起動制約 (Launch Constraint) により、エンドユーザーの IAM 権限に関係なく、 Service Catalog が指定した IAM ロールでリソースを作成するため、最小権限の原則を維持しながらセルフサービスを実現します。タグオプション機能により、プロビジョニングされるリソースに必須タグ (コストセンター、プロジェクト名、環境名) を自動的に付与し、コスト配分と管理の一貫性を確保します。通知制約により、製品のプロビジョニングイベントを SNS トピックに通知し、 IT 管理者が利用状況を監視できます。 クラウドガバナンス設計の運用ノウハウを深めるには、専門書籍 (Amazon)が役立ちます。
Organizations との統合とマルチアカウント展開
Service Catalog は AWS Organizations と統合し、ポートフォリオを組織全体に共有できます。管理アカウントで定義したポートフォリオを OU 単位で共有することで、全アカウントで一貫した製品カタログを提供します。新しいアカウントが OU に追加されると、自動的にポートフォリオへのアクセスが付与されます。AWS Control Tower との連携により、アカウントファクトリーで新規アカウントを作成する際に、標準的な Service Catalog 製品を自動的にプロビジョニングするワークフローを構築できます。Terraform との統合もサポートされており、CloudFormation だけでなく Terraform テンプレートを製品として登録することも可能です。プロビジョニングされた製品の一覧と状態は Service Catalog コンソールで一元管理でき、不要になったリソースの終了 (削除) もセルフサービスで実行できます。
Service Catalog の料金
Service Catalog 自体に追加料金は発生しません。コストはプロビジョニングされた AWS リソースの利用料金のみです。Organizations でポートフォリオを共有する場合も追加料金はなく、組織全体のガバナンス基盤として導入コストが低い点が魅力です。テンプレート制約でインスタンスタイプを制限し、エンドユーザーが高額なリソースを誤って作成するリスクを抑えられます。
まとめ - セルフサービス型インフラ提供の実現
AWS Service Catalog は、ガバナンスを維持しながら開発チームの自律性を高めるセルフサービス型インフラプロビジョニング基盤です。CloudFormation テンプレートによる承認済み構成の標準化、起動制約による最小権限の維持、タグオプションによるコスト管理の自動化を組み合わせることで、セキュリティとアジリティを両立します。Organizations との統合により、マルチアカウント環境全体で一貫した製品カタログを提供し、IT ガバナンスを組織レベルで確保します。