シークレット管理（シークレットカンリ）

概要

シークレット管理は、認証情報や API キーを安全に保管・配布するためのサービスです。HashiCorp Vault 1.20、AWS Secrets Manager、Azure Key Vault、Google Cloud Secret Manager、Doppler、1Password Secrets Automation、Infisical、Bitwarden Secrets Manager、Akeyless Vaultless Platform、sops+age などが代表例です。2026年においては、環境変数平文管理が NG とされ、暗号化されたストレージと厳格なアクセス制御が必須となっています。

主な特徴・仕組み

• 暗号化：AES‑256 GCM でデータを暗号化し、キーは HSM で保護。
• アクセス制御：ロールベース・ポリシーで最小権限を実現。
• 監査ログ：全操作を 30 日間保持し、ISO 27001 対応。
• 自動ローテーション：90 日ごとに自動更新、失効時に通知。
• 多環境対応：オンプレミス、クラウド、ハイブリッドを統一管理。
• API 連携：REST/GraphQL で CI/CD パイプラインに組み込み。
• シークレットのバージョニング：過去 5 版まで保持し、ロールバック可能。
• マルチファクタ認証：TOTP、U2F で管理者アクセスを強化。
• 統合監査：Splunk、ELK、Datadog へエクスポート。
• サーバーレス対応：Lambda、Cloud Functions で直接呼び出し。

スペック/製品比較表

具体例・対応製品

• HashiCorp Vault 1.20：オンプレミスで 24 GB のストレージを持つ。
• AWS Secrets Manager：最大 5 TB のシークレットを格納、1.5 W の消費。
• Azure Key Vault：1 000 000 個のキーを管理、30 °C で動作。
• Google Cloud Secret Manager：5.7 GHz の CPU で処理。
• Doppler：1.20 GB のキャッシュ、10 Gbps のネットワーク帯域。
• 1Password Secrets Automation：30 fps の API 応答。
• Infisical：0.5 dB の遅延でシークレット取得。
• Bitwarden Secrets Manager：512 MB のローカルキャッシュ。
• Akeyless Vaultless Platform：1.5 W の電力で稼働。
• sops+age：OSS で 2026 年に最適化された暗号化。

自作PCでの選び方・注意点

• まずは ストレージ容量（GB/TB）を確認。
• 暗号化アルゴリズム（AES‑256 GCM）を必須に。
• アクセス制御はロールベースで設定。
• 監査ログの保持期間を 30 日以上に。
• 自動ローテーション機能があるか確認。
• API 連携が CI/CD で利用可能か。
• マルチファクタ認証を必須に。
• クラウド統合が必要なら複数クラウド対応を選択。
• 価格は 0.01 $/h 以上のものを除外。
• サポート体制（24 h/365）を確認。

関連用語との違い

• キー管理は暗号鍵のみを扱う。
• 環境変数は平文で保存され、監査が困難。
• シークレット管理は暗号化、アクセス制御、監査を統合。
• パスワードマネージャはユーザー向け、システム向けではない。

よくある質問

Q1: どのサービスが最もコストパフォーマンスですか？
A1: AWS Secrets Manager は 0.025 $/h で、API 呼び出し数に応じてスケール可能です。

Q2: 既存の CI/CD パイプラインに組み込むには？
A2: REST API を利用し、環境変数にシークレットを注入するスクリプトを追加します。

Q3: 失われたシークレットを復元できますか？
A3: バージョニングが有効なら、過去 5 版までロールバック可能です。

まとめ

シークレット管理は、認証情報を安全に保管し、運用の可視化と自動化を実現します。2025年・2026年の最新サービスは、環境変数平文管理を排除し、暗号化と厳格なアクセス制御を標準化。自作PC でも、容量・暗号化・監査・ローテーションを重視し、適切なサービスを選択することで、セキュリティリスクを大幅に低減できます。