読み方：ポリシーアズコード

Policy as Code【PaC】コードとしてのポリシー

Policy as Codeとは？

企業などの組織が定めるアクセス制御やセキュリティ要件など情報システムの運用ルール（ポリシー）を、文書ではなくプログラムコードとして記述し、自動的に適用・検証する手法。

クラウドサービスやコンテナ技術の普及により、管理すべきシステムの構成要素が急増した結果、手作業での確認では設定ミスや判断のばらつきを防ぎきれなくなってきた。管理対象が膨大になるにつれて、運用担当者が一つ一つチェックするといった人力での一貫した運用は現実的でなくなる。こうした背景から、ソフトウェア開発の手法を運用管理に取り入れ、運用・管理のルールを意味する「ポリシー」（policy）をコードとして扱う考え方が広まった。

管理ポリシーをコードとして定義することで、「本番環境のデータは暗号化すること」「特定の権限は付与しないこと」といった条件を、システムの構築や変更のたびに自動で検査できる。違反が検出された場合はプログラム展開の停止や警告の出力といった制御を行えるため、運用者の経験や判断に左右されない均一な管理が実現する。人間が行う点検と比べて速度と正確さの面で優れており、問題が深刻化する前に検出できる体制を整えられる。

また、一定の語彙や構文に従って書かれるコードとして管理することで、バージョン管理システムを通じた変更履歴の追跡も可能になる。いつ、誰が、どのルールをどう変えたかが記録されるため、監査対応や障害時の原因究明に役立つ。ポリシーの変更は通常のソースコードと同様にレビューやテストを経て適用できるため、誤った条件設定による運用トラブルのリスクも抑えられる。

「IaC」（Infrastructure as Code：コードとしてのITインフラ）と組み合わせて使われることも多く、インフラの構成定義とポリシーチェックを同じ開発工程に組み込むことで、環境の一貫性を維持しやすくなる。組織によっては、プログラム展開を自動化する「CI/CDパイプライン」への組み込みや、セキュリティ管理やコンプライアンス確認を開発フローに統合する「DevSecOps」との併用が実践されている。具体的なツールとしては「Open Policy Agent」（OPA）や「HashiCorp Sentinel」などがよく知られる。