【opsmethod #3】 「KIRO に Well-Architected レビューを組み込んで、IaC の不備を直してみた話」というテーマで登壇しました
こんにちは。
仄暗いKIROの底から
運用イノベーション部のかわいです。
9月ですね。
今回の台風は変な動きをしてますが、わたしは今日も元気です。
先日、僭越ながら opsmethod という勉強会に登壇しました。
運用 x AI x セキュリティの組み合わせが訴求力があったのか、初回想定していた人数を大幅に超える方にお越しいただき、大盛況に終わりました（緊張したけど楽しかった）。
今回、「KIRO に Well-Architected レビューを組み込んで、IaC の不備を直してみた話」というテーマで登壇したので、発表した内容を記事にしたいと思います。
テーマについて
今回は運用とAIとセキュリティを組み合わせたソリューションや取り組み等の紹介ということで、今年6月に行った AWS SUMMIT 2026 で紹介されていた公式スキルについて発表することにしました。
※「AI と一緒に進める AWS Well-Architected Framework レビュー のすすめ」より引用 [1]
今回紹介したのは↑引用の2番目「Well-Architected Skills & Steering for AI Coding Agents」という（サンプル）スキルで、Terraform コード内を AWS Well-Architected Framework（以降WA） の観点からレビューし、リスク判定をしてくれるというすぐれもの。
発表では主にデモを中心に、サンプルリポジトリを読ませるところを紹介しました。
スキルについて
公式リポジトリとREADMEはこちら。
Node.js が入っている環境であれば以下コマンドからインストールできます。
$ npx skills add aws-samples/sample-well-architected-skills-and-steering
基本的にはWAの6本の柱（pillar）に基づき、ベストプラクティスの観点から環境をレビューしてくれます。
公式READMEには、トークン消費も考慮し、クイックレビューからはじめて、そこからリスクとして上がってきた点をフルレビューにかける方法がおすすめされています。
KIRO をはじめ、主要な生成AIエージェント、エディタ等はカバーされており、Claude Code や Codex、Cursor、Antigravity など幅広く対応しています。
デモ風景
今回は、簡易的なWeb三層構造をサンプルリポジトリとして作成し、レビューしてみました。
サンプルリポジトリは以下のような構造。
terraform_demo/
├── alb.tf
├── compute.tf
├── network.tf
├── rds.tf
├── security_groups.tf
├── variables.tf
└── versions.tf
KIROには以下のようなプロンプトで依頼します。
何度か試してみて、明示的に指示をしていないと英語で結果が返ることが半々くらいの確立であったので、あえて日本語で出力するよう加えています。
aws-well-architected-framework-review スキルを使い、このリポジトリのTerraformコードをWell-Architectedの観点で、すべて日本語でレビューして。
まずはクイックレビューが実行されたようです（45秒程度）。
各リソースのタグに「demo」という値は持たせているものの、「このデモコードには意図的に埋め込まれた「アンチパターン」が複数見えます(SSH/DB の全開放、暗号化なし、単一AZ、パスワードハードコードなど)」という点を見抜いていました。
フルレビューを実施してみます。
途中モデルのエラーで少し止まったものの、約5分程度で完了しました。
フルレビューでは、307件のベストプラクティス観点での評価が実施されるため、時間がかかります。
「SEC02-BP03」等のカテゴリごとに、見やすく重要度別のリスク分析結果が表示されました。
その後、結果を詳しいレポートに出してもらうこともできます。
（発表では時間内に間に合わなかったので、事前に出力したものを見せられるようにしておくべきでした）
先ほど同様にモデル側のエラーで少し停止していたものの、9分程度で800行ほどの詳細レポート（マークダウン）が作成されました。
リスクに関し、重要度ごとに詳細な内容が解説されています。
また、専門用語は多いですが、今後の改善計画も提示してくれています。
今回のデモでは簡易的な構成とはいえ20-30クレジット程度の消費だったため、おサイフにも優しいスキルと思います。
結果を受けてそのままKIROに是正方針を示してもらうのもよし、自分で修正するもよし、内容によっては従わないのもありだと思います。
まとめ的な
ここまで簡単ですが、登壇した内容をまとめてみました。
このスキルを活用すれば、網羅的に環境内リスク/Well-Architected Framework 観点のチェックができるので、まず手始めに何かしたい、というケースで特に活用できるかなと思います。
最初の方で紹介したように、AWS公式からはAIレビューのアプローチとして3種類が提供されています。
規模感やコスト等から、環境に応じたソリューションを選択できると思います。
スキルを入れるだけで実行できるので、ぜひ試してみてください。
完
【参考】
[1]
[2]
