Checkov で Terraform の脆弱性を検知する: insecure vs secure の比較デモ

IaC のセキュリティは apply する前に担保したい。Checkov を使えば、Terraform コードの脆弱性を静的解析で検知できます。S3、Security Group、RDS、IAM、CloudTrail の 5 リソースを題材に、脆弱なコードで 37 個の FAILED を出し、修正済みコードで 111 個の PASSED を達成するまでの流れをデモリポジトリで再現しました。

AI ソロ開発の CI コストを gh-signoff で削る — ローカル CI とサインオフという選択肢

AI エージェントに実装させると PR とプッシュの回数が跳ね上がり、リモート CI の課金だけが静かに増えていきます。gh-signoff はテストをローカルで走らせて自分で署名するという、身も蓋もないが理に適った解を提示します。

npm 公開を Trusted Publishing で多層防御する — トークンレス OIDC・ステージ公開・PR マージ起点リリースの設計

2025-2026 年の npm サプライチェーン攻撃を受けて、長期トークンによる公開はもはや既定の選択肢ではありません。GitHub Actions の OIDC を使う Trusted Publishing で publish secret をゼロにし、CI はステージ公開までしかできないように倒し、live 昇格は npm の MFA を要する別操作に分ける。さらに release Environment を PR マージ ref に絞り、リリース PR の生成自体も自動化する。リポジトリ書き込み権限ひとつでは live な npm パッケージを作れない多層防御を、実際に動くレシピとして組み立てます。

配布 CLI 成果物を Sigstore cosign で keyless 署名する — GitHub Actions OIDC・bundle 検証・改ざんテストの設計

out-of-band 配布の弱点は、受け取った成果物が「本当にあの組織のワークフローから出たもので、途中で書き換わっていない」ことを誰も確かめられない点にあります。Sigstore cosign の keyless 署名なら、長期保管する署名鍵を持たずに、GitHub Actions の OIDC 身元で成果物に署名できます。Fulcio が短命証明書を発行し、署名イベントは透明性ログに残る。検証側は certificate identity と OIDC issuer を pin することで「このリポジトリのこのワークフローが署名した」ことまで確かめられます。npm の .tgz と Google ドライブの zip の両方に署名し、改ざんテストで verify が確実に落ちることを CI に組み込んだレシピを、端から端まで組み立てます。

Trivy で Terraform のミスコンフィギュレーションを検知する: Checkov との比較デモ

Checkov に続き、Trivy でも同じ Terraform コードをスキャンするデモリポジトリを作成しました。同じ脆弱なコードに対して Checkov は 37 件、Trivy は 27 件の検知。この差はどこから来るのか。severity の分類、IAM ワイルドカードの扱い、検知 ID 体系の違いを実際のスキャン結果から比較します。