Secrets Management Vault/Doppler/Infisical 2026（シークレッツマネジメント）
Secrets Management Service。HashiCorp Vault 1.18 (BSL Move・OpenBao 2.0 Apache Fork)・Doppler (Cloud SaaS)・Infisical (FOSS+Cloud)・Bitwarden Secrets Manager・1Password Secrets Automation・AWS Secrets Manager・GCP Secret Manager・Azure Key Vault・External Secrets Operator (k8s)・SOPS+age (Mozilla Encryption)・dotenvx 1.x (.env暗号化)・¥0-¥¥¥/team、2026年OpenBao注目。
概要
シークレッツマネジメントは、開発・運用環境で扱うパスワード、APIキー、証明書などの機密情報を安全に保管・配信するサービス群を指す。代表的な製品としては、HashiCorp Vault 1.18（BSL Move・OpenBao 2.0 Apache Fork）、Doppler（クラウドSaaS）、Infisical（FOSS+クラウド）などがある。2025年にOpenBaoが業界で注目され、2026年にはSOPS+ageとageの組み合わせが暗号化ツールとして広がった。これらは、暗号化、アクセス制御、監査ログ、ローテーション機能を組み合わせて、機密情報の漏洩リスクを低減する。
主な特徴・仕組み
- 暗号化方式：256‑bit AES-GCM（Vault・Infisical）、age（SOPS+age）で512‑bit RSA鍵を使用
- アクセス制御：RBAC（Vault 1.18、OpenBao 2.0）＋OIDC（Doppler、Infisical）
- ローテーション：自動ローテーション間隔は 24 時間で設定可（Vault 1.18、Doppler）
- 監査ログ：JSON 形式で 5 GB/日まで記録（Vault 1.18、Bitwarden Secrets Manager）
- 統合：Kubernetes External Secrets Operator で 1,000 スレッド同時接続（Infisical）
- CLI ツール：dotenvx 1.x で .env ファイルを 4096‑bit RSA で暗号化
- 価格帯：Vault 1.18 は 1,200,000 円/年（BSL）
- クラウドオプション：Doppler で 3,000 円/月（Basic）
- FOSS 対応：Infisical は 0 円でオンプレミス版可
スペック比較表
| 製品 | バージョン | 暗号化方式 | 価格 | 主要用途 |
|---|---|---|---|---|
| HashiCorp Vault | 1.18 | AES‑256‑GCM | 1,200,000 円/年 | エンタープライズオンプレ |
| Doppler | SaaS | AES‑256‑GCM | 3,000 円/月 | クラウド開発チーム |
| Infisical | 2026 | age + SOPS | 0 円（FOSS） | オープンソースプロジェクト |
| Bitwarden Secrets Manager | 2026 | AES‑256‑GCM | 1,800,000 円/年 | パスワード管理＋シークレット |
| AWS Secrets Manager | 2026 | AES‑256 | 0.05 円/リクエスト | AWS 環境専用 |
具体例・対応製品
- RTX 5090（NVIDIA）を搭載した開発用ワークステーションにおいて、Infisical を利用して GPU シェーダーの API キーを管理。
- Ryzen 9 9950X3D（AMD）をベースに構築した自作サーバーで、HashiCorp Vault 1.18 をオンプレミスで稼働させ、ローカルネットワーク内の 64 台のコンテナにシークレットを配信。
- DDR5‑6000（メモリ）を搭載したデスクトップに、Doppler のクラウド SaaS を導入し、CI/CD パイプライン（GitHub Actions）で環境変数を安全に注入。
自作PCでの選び方・注意点
- ハードウェア要件：Vault 1.18 をオンプレで稼働させる場合、最低 8 GB RAM、CPU 3.0 GHz 以上、SSD 512 GB が推奨。
- ネットワークセキュリティ：外部からのアクセスは 443/TCP で TLS 1.3 を強制し、IP ホワイトリストを設定。
- バックアップ：暗号化された Vault データは 30 日ごとに別ドライブへスナップショット。
- ローテーション設定：開発環境は 12 時間ごと、運用環境は 24 時間ごとに自動ローテーション。
- 監査ログの保管：ログは 90 日保持し、SIEM へ連携。
関連用語との違い
- Secret Manager vs Key Management：Secret Manager は文字列や証明書を扱うのに対し、Key Management は暗号鍵そのものを管理。
- Vault vs SOPS+age：Vault は集中管理型でアクセス制御が強力、SOPS+age はファイル単位で暗号化し、Git などのバージョン管理に適している。
- External Secrets Operator：Kubernetes 内で外部 Secret を参照するためのオペレータ。実際の暗号化は外部サービス（Vault 等）で行われる。
よくある質問(FAQ)
Q1. 既存の .env ファイルをそのまま使えるのか？
A1. はい。dotenvx 1.x で .env を 4096‑bit RSA で暗号化すれば、Infisical や Vault へ安全にインポート可能です。
Q2. どのサービスが最もコストパフォーマンスが高い？
A2. 2026 年時点で、Infisical（FOSS）と DOPpler Basic が低価格でありつつ、機能はほぼ同等。オンプレミスを前提とする場合は Vault 1.18 が最適。
Q3. 監査ログはどのくらいの期間保存できる？
A3. Vault 1.18 はデフォルトで 30 日間、SOPS+age はファイル単位で保持。必要に応じて SIEM へ転送し、長期保存（1 年以上）も可能です。
まとめ
シークレッツマネジメントは、機密情報を安全に管理し、開発・運用プロセス全体のリスクを低減する不可欠な要素です。2025 年に OpenBao が業界で注目され、2026 年には SOPS+age の組み合わせが広く採用されるなど、動向は日々変化しています。自作PC での導入を検討する際は、ハードウェア要件、ネットワーク構成、バックアップ戦略を明確にし、目的に合わせて Vault、Doppler、Infisical などのサービスを選択するとよいでしょう。