クラウドのセルフサービス利用を社内ユーザーの能力別に区分する重要性：Gartner Insights Pickup（185）

ハードウェアエンジニアや開発者チームなどは、クラウドIaaS／PaaSに自由にアクセスしたいと考えている。だが、個々人によって、クラウドやセキュリティなどの能力レベルはまちまちで厄介な結果を招きがちだ。

[Lydia Leong, Gartner]

ガートナーの米国本社発のオフィシャルサイト「Smarter with Gartner」と、ガートナーアナリストらのブログサイト「Gartner Blog Network」から、＠IT編集部が独自の視点で“読むべき記事”をピックアップして翻訳。グローバルのITトレンドを先取りし「今、何が起きているのか、起きようとしているのか」を展望する。

　私が顧客と話す会話の大半は、クラウドIaaS／PaaSのセルフサービスと、このサービスを使う開発者チームなどの扱い方が話題の中心を占めている。このサービスは開発者チームの他、データサイエンティストや研究者、ハードウェアエンジニアといった技術的なエンドユーザーチームでも使われる。

　多くの場合、こうしたチームやチーム内の個々人によって、クラウドやオペレーション、セキュリティなどの能力レベルはまちまちだ。だが、ほぼ全てのチームやチームメンバーが、クラウドIaaS／PaaSに自由にアクセスしたいと考える。

　責任あるガバナンスを確保するには、適切なガイドライン（ポリシー）や制限を設ける必要がある。一部のマネジャーやアーキテクトは、「単一の全体的なポリシーを定めるべきであり、誰もが（能力の高いデジタルビジネスチームから、インフラについてその場しのぎの知識を少しだけ持っているデータサイエンティストまで）“公平さ”のために同じように扱われなければならない」と思っている。

　だが、この考え方は、同様のニーズを抱えながらも、クラウド運用能力がまちまちなアプリケーション開発チームが多数ある場合、とりわけ厄介な結果を招きがちだ。こうした状況で単一のアプローチを適用するとアジリティが著しく損なわれるか、あるいは重大なインシデントが発生するか、いずれにしても深刻な事態に陥りかねない。

　能力に応じた構造化や階層化の観点から、さまざまなセルフサービスレベルを定め、関連するガバナンスガイドラインと制限を設けることが最も柔軟なアプローチだ。実際、主にCI／CD（継続的インテグレーション／継続的デリバリー）パイプラインを使ってデプロイを行うチームと、クラウドプロバイダーが用意したポータルで手動で作業するチームとではニーズが異なる。また、後者のチームと、ServiceNowのSaaSアプリケーションで、リクエストに応じてプロビジョニングされる、手を加えやすいテンプレートを使うことで恩恵を受けるチームでもニーズは異なる。

　各チームが、独自の構成を合理的にどの程度作成できるかどうかは、チームのクラウドソリューションアーキテクチャ、クラウドエンジニアリング、クラウドセキュリティの能力に左右される。チームの全てのメンバーが高度な能力を持つとは限らないかもしれない。実際、一般的にそうしたケースはないだろう。

　だが、フルセルフサービスを利用するには、少なくともこれらの各分野に1人ずつ、精通している人が必要だ。その人は監督責任を持ち、専門家として行動し（チーム内で支援や助言を提供し）、コードレビューが必要になったら常に行うことになる。

　CI／CDを使用する場合は、パイプラインでコードレビューを自動化する必要もある。レビュー対象にはアプリケーションコードだけでなく、Infrastructure as Code（IaC：コードとしてのインフラストラクチャ）とクラウド構成も含まれる（こうした自動化ツールの一例として、Concourse Labsの製品が挙げられる）。パイプライン全体は自動化されていないとしても、IaCが開発やテスト、本番環境でクラウドセキュリティの態勢管理ツール（Palo Altoの「Prisma Cloud」やTurbotの「Turbot」など）をトリガーにした場合だけでなく、開発段階を通じてIaCのコードレビューを自動化することが必須だ。

　では、ユーザーがクラウドのセルフサービスを使う“能力”を、誰が判断するのだろうか。醜い社内政治の横行を防ぐには、能力評価基準を客観的に定めるのがベストだ。

　認定資格制度を利用するのが合理的なアプローチだが、あなたの会社がベンダーやコンサルティング会社を利用した社内認定資格制度の導入にお金をかけそうもない傾向にある場合や、クラウドプロバイダーの認定資格制度（Amazon Web Services／Microsoft Azureのソリューションアーキテクト、DevOpsエンジニア、セキュリティエンジニアなど）はハードルが高過ぎるように思える場合は、トレーニングコースと認定資格制度を自社で開発することもできる。

　クラウドを使用する社内のコーダーが全員（アプリケーション開発者かデータサイエンティストかなどにかかわらず）、適切で安全なクラウド構成の作成について正式なトレーニングを受けるようにするのは、悪くないアイデアだ。

出典：Tiering self-service by user competence（Gartner Blog Network）