CI/CD & Change Management

Git & Change Process Design

• Branch Strategy
• Pull Request / Review Flow
• Environment Promotion Strategy

GitをSource of Truthとし、Branch、Pull Request、Review、Mergeの流れをProjectの開発・運用体制に合わせて設計します。

同一のSourceからDevelopment、Staging、Productionなど複数Environmentへ展開できる構成とし、Environmentごとのコード分岐をできるだけ避けながら、変更を段階的にPromotionできるWorkflowを設計します。

CI/CD Pipeline Design

• Infrastructure as Code CI/CD
• Application CI/CD
• Validation / Test / Policy Check
• Environment Deployment Design

GitHub Actionsを中心に、InfrastructureとApplicationのBuild、Test、Validation、Deployment Pipelineを設計します。

Lint、Unit Test、Terraform Plan、Security Check、OPAなどをPipelineへ組み込み、問題のある変更をDeployment前に検出できるQuality Gateを構築します。

Secure Deployment & Environment Protection

• OIDC Federation
• Deployment Role / Role Chain
• GitHub Environments
• Approval & Deployment Protection
• OIDC Claim-based Access Control

CI/CDからCloudへアクセスする際に固定Access Keyを利用せず、OIDC Federationを利用した認証方式を設計します。

GitHub Environment、Approval、Branch制限と、OIDCのsub / audなどのClaimをCloud側のTrust Policyと連携し、承認されたRepository、Branch、EnvironmentなどからのDeploymentのみを許可できる権限モデルを設計します。

複数Account / Project / Subscriptionへ展開する場合は、Entry RoleとDeployment Roleを分離するなど、EnvironmentごとにDeployment権限を制御できるRole Chainも設計します。

Dependency & Toolchain Maintenance

• Automated Dependency Update
• Toolchain Version Management

Terraform Provider、GitHub Actions、Application LibraryなどのDependencyを長期間固定したままにせず、Renovateなどを利用して新しいVersionを継続的に検知し、Pull Requestとして更新を管理できる仕組みを設計します。

Version更新についても通常のReview、Test、Validation Flowを通すことで、Dependencyの更新を自動化しながらProductionへの変更を安全に管理します。