1.3CAF・WAF と Azure ランディングゾーン、DevSecOps

ベストプラクティスは「組織全体の導入戦略」と「個々のワークロード設計」の両面に必要です。前者を CAF、後者を WAF が担います。アーキテクトはこの 2 つを混同せず、適材適所で使い分けます。

1.3.1CAF と WAF の役割分担

Cloud Adoption Framework（CAF）は、戦略→計画→準備→導入→統制→管理というクラウド導入の旅全体を導くガイダンスで、その Secure 手法と Govern 手法がセキュリティ/ガバナンス戦略を提供します。一方 Azure Well-Architected Framework（WAF）は、個々のワークロードを 5 つの柱（信頼性・セキュリティ・コスト最適化・オペレーショナルエクセレンス・パフォーマンス効率）で評価する設計品質のレンズです。「全社のガバナンス/導入戦略」なら CAF、「このワークロードのセキュリティ設計レビュー」なら WAF を選びます。

1.3.2Azure ランディングゾーンで統制を実装

CAF の戦略を実体化するのが Azure ランディングゾーン です。管理グループ階層・Azure Policy による集中ガードレール・サブスクリプションの構成・ネットワークと ID の土台を、コードで再現可能に整えます。これにより新規ワークロードは「最初からポリシー準拠」の区画に着地します。アーキテクトは「全社で逸脱を防ぐ統制をどこに置くか」を問われたら、ランディングゾーン＋Azure Policy を設計の中核に据えます。

1.3.3CAF に沿った DevSecOps

DevSecOps は、セキュリティを開発ライフサイクルの左（早期）へ寄せる（シフトレフト）考え方です。脅威モデリング、コード/依存関係/シークレットのスキャン、IaC のポリシー検査、パイプラインへの workload identity（鍵を埋め込まない）を組み込み、リリース後は posture/脅威検知へ継続します。アーキテクトは「人手の門番」ではなく「自動ゲートで継続的に検証する」プロセスを CAF の Secure 手法に沿って設計します。

1.3.4この節のまとめ

• CAF＝全社のクラウド導入の旅（Secure/Govern 手法で戦略）。WAF＝個別ワークロードを 5 柱で評価する設計品質レンズ
• ランディングゾーン＋Azure Policy＝CAF を実装する統制の土台（最初からポリシー準拠の区画）
• DevSecOps＝シフトレフトでパイプラインに脅威モデリング/スキャン/workload identity を組み込む