Cloud operations, approved
SRE を採用できなくても、
本番は回る。
クラウドの変更を「申請 → 計画 → 承認 → 実行 → 監査」の一本の流れにします。実行されるのは承認された計画だけ。専任の SRE がいなくても、運用は止まらず、証跡は残ります。
AWS に対応。Google Cloud と Azure は準備中です。
- 対象アカウント
- prod（AWS）
- 申請者
- 情報システム部 · 田中
# 計画（承認対象） rds modify-db-instance \ --db-instance-identifier prod-app \ --db-instance-class db.r6g.xlarge \ --apply-immediately plan sha256 · 9f3c1e…a71e
- 1. 情報システム部長承認済
- 2. セキュリティ担当承認待ち
- 1申請
- 2計画
- 3承認
- 4実行
- 5監査
「採用できない」を、
前提にする。
インフラを任せられる人は来ない。それでも変更は毎週やってくる。だから、人ではなく仕組みに任せます。
採用には何か月もかかる
募集から独り立ちまで半年。その間も、変更は毎週届きます。
属人化
担当者が一人休むと、その週の変更がすべて止まる。
証跡がない
監査で「誰が・何を・なぜ」と聞かれて、チャットの履歴を探す。
申請から実行まで、一本の流れ。
How it works- 01
申請
業務部門が日本語で「やりたいこと」を書く。CLI も IaC も要りません。
- 02
計画
依頼を実行可能な計画に変換。変更内容と影響範囲を、承認者が読める形で提示します。
- 03
承認
承認者は計画を確認して押印。承認と同時に、計画の内容にハッシュが刻まれます。
- 04
実行
ハッシュが一致する計画だけを実行。承認後に書き換えられた計画は動きません。
- 05
監査
判断と実行のすべてを追記専用のログに残す。監査には、そのまま提出できます。
安心して
任せられる理由。
自動化ツールではありません。決裁された計画を、そのとおりに執行する仕組みです。守るべきルールは手順書ではなく、製品の側に置きました。
承認した計画しか動かない
計画の内容から生成したハッシュが一致しない限り、実行は始まりません。
まとめて申請、まとめて承認
関連する変更を一つの申請に束ねて、承認の往復を減らします。
監査ログは書き換え不可
追記のみ。管理者であっても、更新も削除もできません。
常駐する権限を持たない
実行のたびに一時的な資格情報を取得します。長期のアクセスキーは預かりません。
こんな方に。
CLI も IaC も分からないまま、クラウドの変更を依頼し、承認できる。
ベンダーに丸投げしていた運用を、自社の決裁のもとに戻します。
「ボタンを押すだけ」の依頼から、解放される。
定型作業は仕組みに任せて、設計と改善に時間を使えます。
稟議から生まれました。
日本の会社では、変更を起案し、関係者に回覧し、責任者が一人ずつ印を押してから動きます。稟議と呼ばれるこの作法は、紙の上では遅い。それでも、決定と記録が同じ一枚になる点だけは正しかった。
Actagate はその考え方を残して、紙をなくしました。計画が起案書で、承認が押印です。押印のない計画は、実行できません。
まず、いちばん多い定型作業から。
30 分のデモで、御社の申請フローに合わせた流れをご覧いただけます。