生成AI時代の クレデンシャルとパーミッション設計

Transcript

1. Developers Summit 2026 KANSAI ／ A-6 生成AI時代の クレデンシャルとパーミッション設計 AIに権限と鍵を、どう渡し、あるいは渡さないのか 佐々木 拓郎 NRIネットコム株式会社 執行役員 デジタルソリューション事業本部⾧ クラウドテクニカルセンター センター⾧ 2026年8月21日 Copyright（C） NRI Netcom, Ltd. All rights reserved. 0
2. 自己紹介 佐々木拓郎  2000年 4月  現在 NRIネットコム株式会社入社 執行役員 デジタルソリューション事業本部⾧ クラウドテクニカルセンター センター⾧  執筆 Copyright（C） NRI Netcom, Ltd. All rights reserved. 1
3. AIに任せるほど、AIに渡す権限は広がる “ AIに、自律的に作業を進めてほしい “ 権限を広げると、セキュリティやガバナンスが心配 この相反する二つの要求を、どう両立させるか 30分で、権限と鍵の設計の勘所を持ち帰る Copyright（C） NRI Netcom, Ltd. All rights reserved. 2
4. 事故を減らすために、まずこの3か所を設計する あなたのPC 2 届く範囲 どこまで触れられるか 1 あなた AIエージェント 鍵 .env / ~/.aws できること 何を許可するか コマンドを 許可 / 禁止 実行する 3 認証情報 値をどう渡すか クラウド Web Copyright（C） NRI Netcom, Ltd. All rights reserved. 3
5. Section 1 ／ 前提合わせ 01.任せると、何が起きるか エージェントの動きと、事故の起き方 Copyright（C） NRI Netcom, Ltd. All rights reserved. 4
6. 1. AIエージェント Copilot（副操縦士）から、メンバーへ AIは、単なるコーディング支援ツールではない Copilot（副操縦士） 自律したメンバー AIは人をサポート。候補を出し、人間が AIエージェント。タスクを受け取り自律的に 判断して実行する 判断して実行する 成果物を出す主体が、人からAIに移っている Copyright（C） NRI Netcom, Ltd. All rights reserved. 5
7. 1. AIエージェント AIに1つ指示するだけで、ここまでやる 例: Claude Code（ターミナルで動くコーディングエージェント）に 「テストを直して」と頼む 読む → 書き換える → 実行する → 確認する • AIは、自律的に動き続ける • 人は、1手ずつを確認しない／できない Copyright（C） NRI Netcom, Ltd. All rights reserved. 6
8. 1. AIエージェント そのAIは、どこまで触れられるのか？ 何もしなければ あなたと同じ権限で動く 読めるファイルも、打てるコマンドも同じ このまま任せるのは、危ない Copyright（C） NRI Netcom, Ltd. All rights reserved. 7
9. 1. AIエージェント 頼んでいないことまで実行される。時には悪意が混入する Indirect Prompt Injectionの例 .env：APIキーなどを書いておくファイル • AIが読むWebページに、指示が仕込まれる • その指示で、.envのAPIキーが外部へ送信される 人ならしない操作を、AIが実行することがある Copyright（C） NRI Netcom, Ltd. All rights reserved. 8
10. 3つの設計で、AIに任せられる範囲を広げる AIに任せる 事故を防ぐ できること 確認なしで実行できる 危険な操作は止める 届く範囲 必要なファイルは 触らせる 対象外のファイルには 触れさせない 鍵の渡し方 必要な鍵を利用できる 値までは渡さない 何を任せ、どこから先は任せないかを決める Copyright（C） NRI Netcom, Ltd. All rights reserved. 9
11. Section 2 02.できることを決める パーミッション（権限）：許可する操作と、禁止する操作 Copyright（C） NRI Netcom, Ltd. All rights reserved. 10
12. 2. 権限 設定ファイルと、指示書は別もの どちらも Claude Code が読むが、強制力があるのは設定ファイルだけ 設定ファイル 指示書 settings.json ： 許可と禁止をパターンで CLAUDE.md ： 方針や文脈を文章で渡 指定。確実に拒否される す。強制力はない 守らせたいことは、設定に書く Copyright（C） NRI Netcom, Ltd. All rights reserved. 11
13. 2. 権限 事前の禁止だけでなく、実行時の判断も必要 設定ファイルはパターンで指定できるが、中身を判断しての処理はできない 設定ファイル hooks 対象をパターンで指定して、一律に許可・ 実行の直前に中身を見て、許可・拒否・ 禁止する 記録を決める パターンで書けないと分かったら、hooks Copyright（C） NRI Netcom, Ltd. All rights reserved. 12
14. Section 3 03.届く範囲を決める 実行境界：コンテナに閉じ込めるか、PC全体か Copyright（C） NRI Netcom, Ltd. All rights reserved. 13
15. 3.実行境界 許可リストと境界防御は、守り方が違う settings.json は「触るな」と言える。境界は「そもそも届かない」にできる ルールで守る 境界で守る 何を許すかを1つずつ書く。 持ち込むファイルを先に決める。 書き漏れた経路はそのまま通る それ以外には届かない 書き漏れても、境界の外へは届かない Copyright（C） NRI Netcom, Ltd. All rights reserved. 14
16. 3.実行境界 AIを隔離する境界には層がある 二者択一でなく、複数の層で防御する sandbox container AIが触れる範囲を制限する AIそのものを隔離環境に置く 制限を外せば、ホストのリソースに届く 制限が外れても、コンテナ境界が残る AIと機密を、いくつ境界で守るか Copyright（C） NRI Netcom, Ltd. All rights reserved. 15
17. 3.実行境界 どこで動かすかは、データで決める 扱うデータで、隔離の強さを変える 公開 → 内部 機密 → • 分類が決まれば、置き場所も決まる • その都度考えず、分類表を見て決める ⾧期の鍵は、コンテナに持ち込まない Copyright（C） NRI Netcom, Ltd. All rights reserved. 16
18. Section 4 ／ここが肝 04.鍵の渡し方を決める クレデンシャル（鍵）：操作は任せ、値は渡さない Copyright（C） NRI Netcom, Ltd. All rights reserved. 17
19. 4.鍵 「鍵」は、PCのあちこちに置いてある APIキー・パスワード・クラウドの認証情報。これを「鍵」と呼ぶ .env ~/.aws ~/.ssh プロジェクト直下のAPIキー置き場 クラウド・サーバの鍵の置き場 ブラウザ・環境変数 ログイン中の一時的な鍵 拒否しなければ、エージェントは、これらを読める Copyright（C） NRI Netcom, Ltd. All rights reserved. 19 18
20. 4.鍵 安全な保管場所 ≠ AIから安全 AIに取得権限がない AIに取得権限がある AI が届く範囲 AI が届く範囲 Claude Code Claude Code GetSecretValue AWS Secrets Manager AWS Secrets Manager API キー API キー AI は鍵の値に触れない 鍵を直接読ませたのと同じ 保管場所の設計だけでなく、取得権限の設計が必要 Copyright（C） NRI Netcom, Ltd. All rights reserved. 19
21. 4.鍵 鍵の渡し方は4段階。下ほど安全 分かれ目は置き場所ではなく、誰が取り出すか 1. 直読み：AIがファイルを直接読む 2. 平文の外部注入：環境変数で渡す 3. ストア経由の注入：取り出しはAIの外 4. 代理実行：値そのものを渡さない Copyright（C） NRI Netcom, Ltd. All rights reserved. 20
22. 4.鍵 ① 直読み .env 直置きは、一番事故る # ~/project/.env OPENAI_API_KEY=sk-******************** AWS_SECRET_ACCESS_KEY=**************** • 読めれば紛れ込んだ指示ひとつで流出 • .env はデフォルトでは守られない • Gitでパブリック公開の事故も起こりやすい Copyright（C） NRI Netcom, Ltd. All rights reserved. 21
23. 4.鍵 ② 平文の外部注入 環境変数は、コマンド一発で見える export AWS_SECRET_ACCESS_KEY=******** claude • 鍵がプロセス環境に常駐する • 露出はあっけない：env | grep AWS • 子プロセスにも継承される Copyright（C） NRI Netcom, Ltd. All rights reserved. 22
24. 4.鍵 ③ ストア経由の注入 取り出しを、AIの外に置く 1Password / Vault（パスワード・鍵の管理ツール） op run -- claude • 実体は 1Password / Vault へ集約 • 注入はプロセスにだけ渡す • AI自身に取り出す権限を与えない • ただし注入後の値はAIプロセスから参照できる Copyright（C） NRI Netcom, Ltd. All rights reserved. 23
25. 4.鍵 ④ 代理実行 鍵を持たせずに、実行させる deploy_to_staging(service="api") • 鍵を持つのは、AIの外にある実行サービス • AIに公開するのは、許可した操作だけ • AIには鍵の値も、汎用的なクラウド権限も渡さない Copyright（C） NRI Netcom, Ltd. All rights reserved. 24
26. 4.鍵 読ませない設定 settings.json で、鍵を読ませない "permissions": { "deny": ["Read(//**/.env*)", "Read(~/.aws/**)"] } • ~/.ssh も同じ1行で締め出す 設定と境界、両方で防ぐ Copyright（C） NRI Netcom, Ltd. All rights reserved. 25
27. 4.鍵 鍵は短いほど安全。短いと処理の途中で切れる ④を選んでも、鍵の寿命は自分で決める • ⾧期の鍵は、漏れたら使われ続ける • 短命の鍵は、処理の途中で切れる 1時間 設定した鍵の寿命 2時間 実際にかかった処理 Copyright（C） NRI Netcom, Ltd. All rights reserved. 26
28. 4.鍵 更新は自動。人がするのはログインだけ 鍵の利用可能時間を短くして、リフレッシュ（再発行）可能な形にする AIが使う鍵 人のログイン AIエージェントの外で鍵の自動更新の仕組 切れると自動更新も止まる。⾧さは端末 みを構築する の使われ方で決める 面倒だからと、ログインを90日にしない Copyright（C） NRI Netcom, Ltd. All rights reserved. 27
29. Section 5 05.並べて、選ぶ ここまでの道具を、組み合わせる Copyright（C） NRI Netcom, Ltd. All rights reserved. 28
30. 5.まとめ 4つの構えを、組み合わせて使う 設定で事前に守る 人が確認する操作を決める できること：settings.json / hooks できること：ask 実行前に確認を出す 値そのものを渡さない 持ち込む範囲を先に決める 鍵の渡し方：代理実行 届く範囲：sandbox, container 何が要るかを選ぶ。それが設計 Copyright（C） NRI Netcom, Ltd. All rights reserved. 29
31. 5.まとめ 明日からできること AIに鍵を読ませない 機密の置き場所を決める できること：settings.json で読み取りを拒 届く範囲：container の中か、外か 否 鍵の値を渡さない形にする まだ使っていない人へ 鍵の渡し方：.env 直置きから、ストア この3つを導入時の確認リストに 経由か代理実行へ Copyright（C） NRI Netcom, Ltd. All rights reserved. 30
32. 5.まとめ 任せる前に、この3つを決める できること・届く範囲・鍵の渡し方 どこまで渡し、何を渡さないか Copyright（C） NRI Netcom, Ltd. All rights reserved. 31
33. ありがとうございました Copyright（C） NRI Netcom, Ltd. All rights reserved. 32