Claude Code とTerraform インフラ下書きと人間レビューの責任分界（概念）

クラウドインフラの構築において、Terraform（IaC）は標準的な地位を確立しましたが、コードの記述量が増えるにつれ、その保守コストやレビュー負荷がエンジニアを圧迫しています。この課題に対し、Anthropic がリリースした Claude Code（CLI ツールとして提供されるコーディングエージェント）は、単なる「コード生成」を超えた、リポジトリ全体を理解する実務的なパートナーとして機能します。

本記事では、Claude Code を用いて Terraform インフラの「下書き」を自動化し、人間がどの範囲でレビュー責任を負うべきかという責任分界点（Demarcation Point）の定義と、具体的な実装ワークフローを解説します。

Claude Code と Terraform が変えるインフラ運用のパラダイム

従来の IaC 開発では、エンジニアが公式ドキュメントを読み込み、HCL（HashiCorp Configuration Language）を記述し、terraform plan を叩いてはエラーを修正するという反復作業が中心でした。しかし、Claude Code の登場により、このフローは「エージェントへの意図伝達」と「生成された成果物の監査」へとシフトします。

Claude Code はローカルのリポジトリを直接スキャンし、既存のモジュール構成や変数定義を理解した上でコードを提案します。これにより、インフラエンジニアの役割は「コーダー」から、アーキテクチャの妥当性を判断する「レビュアー」へと一段階抽象化されます。

責任分界点の設計：AI は「下書き」、人間は「意図」の責任を持つ

AI エージェントをインフラ運用に導入する際、最も重要なのは「誰が最後に責任を取るか」を明確にすることです。Terraform はクラウドのリソースを直接破壊・作成する強力な権限を持つため、Claude Code に全権限を委譲するのは現実的ではありません。

推奨される責任分界モデル

実務においては、以下の表のように役割を分担することが、スピードと安全性を両立させる鍵となります。

このように、「Claude Code は最速で最高精度の『下書き』を作るが、最終的なハンコ（Approve）は人間が押す」というフローを徹底します。これは、データの流れにおいて自動化を進めるアーキテクチャと同様に、明確なガバナンスを必要とします。例えば、広告データの自動最適化において、データ基盤が「どの広告を配信するか」を決めても、予算の最終決定を人間が行うのと似た構造です。

関連記事：広告×AIの真価を引き出す。CAPIとBigQueryで構築する「自動最適化」データアーキテクチャ

実践：Claude Code で Terraform プロジェクトを爆速で立ち上げる

ここからは、実際にリポジトリ上で Claude Code をどのように動かすか、ステップバイステップで解説します。

1. CLAUDE.md による「憲法」の定義

Claude Code はプロジェクトルートにある CLAUDE.md というファイルを最優先で読み込みます。ここにインフラのコーディング規約を記述しておくことで、AI が出力するコードの品質を均一化できます。

Terraform Project Guide

全てのリソースには Environment と Owner タグを必須とする。

AWS プロバイダーのバージョンは 5.0 以上を使用すること。

機密情報は絶対に variables.tf のデフォルト値に書かず、secretsmanager を参照する構成にする。

コードを変更したら必ず terraform fmt と terraform validate を実行して確認すること。

2. Claude Code でのリソース生成フロー

ターミナルで claude を起動し、以下のような指示を与えます。

「AWS S3 バケットを追加して。静的ウェブサイトホスティングを有効にして、バケットポリシーはパブリック読み取り可能にする。ただし、CloudFront 経由のアクセスのみに制限する OAC 設定も下書きに入れて。」

Claude Code は既存の main.tf や outputs.tf を解析し、新しいリソース定義を追加します。さらに、必要な変数が足りなければ variables.tf を自動で更新します。

3. plan エラーの自律的解決

Claude Code の真骨頂はここからです。生成されたコードに対し、claude のプロンプト内で以下を指示します。

「今の変更を plan してみて。エラーが出たら修正して。」

Claude Code は内部で terraform plan を実行（ユーザーに実行許可を求めます）し、その標準出力を読み取ります。例えば、IAM ロールが既に存在する、あるいは依存関係の定義ミスで plan が落ちた場合、Claude Code はエラーログを分析し、「あ、失礼しました。エイリアスが重複していましたね」と自らコードを修正します。

エージェント駆動型開発フロー：GitHub CLI との連携

Claude Code は単体のツールとしてだけでなく、他の CLI ツールと組み合わせることで「PR 作成マシン」に昇華します。これは、バックオフィスの業務を AppSheet や Google Workspace で自動化する際の、ツール間の「糊」の役割に似ています。

関連記事：Excelと紙の限界を突破する「Google Workspace × AppSheet」業務DX完全ガイド

プルリクエストの自動生成ステップ

1. ブランチ作成: claude "チケット #123 のために新しいブランチを切って、VPC 設定を修正して"
2. コード修正 & ローカル検証: Claude Code が terraform test や自作のバリデーションスクリプトを実行。
3. PR 作成の Skills 呼び出し: Claude Code が gh pr create コマンドを生成し、変更内容をサマリーとして PR 本文に記述。

この一連の流れにより、人間のエンジニアは「Slack に届いた PR の Diff を確認し、Terraform Cloud の plan 結果を見て Approve を押すだけ」の状態になります。手作業による CSV 連携を自動化して経理業務を効率化するように、インフラの「手作業によるコード記述」もまた、撲滅すべき負債なのです。

関連記事：楽楽精算×freee会計の「CSV手作業」を滅ぼす。経理の完全自動化とアーキテクチャ

運用上の壁と解決策：セキュリティとコンプライアンス

Claude Code を導入する上で、情報システム部門が最も懸念するのは「機密情報の取り扱い」です。

1. データの保護とプライバシー

Anthropic の公式ドキュメントによれば、Claude Code（および API 経由の利用）において、送信されたデータがモデルの再学習に使用されることはありません（※Enterprise / Team プラン等の規約に準ずる）。しかし、プロンプトに AWS のシークレットキーを貼り付けるような行為は依然としてリスクです。

2. .claudecode/ignore の活用

リポジトリ内の特定のファイル（例：秘密鍵、機密ドキュメント）を Claude に見せたくない場合は、.claudecodeignore を作成します。これにより、インフラの機密性を保ちつつ、構造的な部分だけを AI に支援させることが可能です。

3. 人間による「最終防衛線」

どんなに Claude Code が優秀でも、terraform apply だけは CI/CD パイプライン（GitHub Actions 等）を通し、人間が環境変数やステートへの影響を最終確認するフローを維持してください。Claude Code はあくまで「最高のアシスタント」であり、インフラの「所有者」ではありません。

まとめ：AI エージェントをインフラの「盾」にするか「剣」にするか

Claude Code × Terraform の運用は、開発スピードを劇的に向上させる「剣」であると同時に、設定ミスや構文エラーを自動で検知・修正してくれる「盾」でもあります。重要なのは、人間が抽象度の高い「意図」と「承認」に集中し、退屈な「実装」と「デバッグ」を AI に任せるという責任分界の再構築です。

この変化は、単なるツールの導入ではなく、組織のエンジニアリング文化そのものをアップデートします。まずは小さなモジュールの作成から Claude Code を使い始め、その「下書き」の精度を体感してみてください。