2025-09-19 クラウドにおけるシークレット管理

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © 3-shake, Inc. All Rights Reserved. おまえだれよ 2 ● すずきまさし/masasuzu/@masasuz ● 株式会社スリーシェイクSreake事業部所属 ● クラウドインフラなんでも屋さんをしてます ○ お客様の外部から ■ 設計、運用、構築等の技術支援を行います。 ○ お客様の内部から ■ インフラチームの一員として内製化支援も行います。 ● 得意領域 ○ AWS ■ AWS Community Builder Cloud Operation Since 2024 ■ 2025 Japan All AWS Certifications Engineers ○ Google Cloud ○ Terraform

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

ソースコードや設定ファイルに平文でシークレットを保存するとgit操作などのミスで漏洩の可能性があります。暗号化鍵を使用しないBase64などのエンコード処理も形式さえ別れば簡単にデコードできてしまうので、平文保存と変わりません。シークレットを平文でレポジトリに保存するのは避けるべきです。 Copyright © 3-shake, Inc. All Rights Reserved. 平文保存ゼッタイダメ 8

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

シークレットの復号およびシークレットの管理自体をシークレットストアに任せてアプリケーション側はそれを利用するのが望ましい ● AWS ○ Parameter Store (SecureString) ○ Secrets Manager ● Google Cloud ○ Secret Manager Copyright © 3-shake, Inc. All Rights Reserved. シークレットストアの利用 11

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

現時点で私が考える望ましい方法としては以下のとおりです。 ● アプリケーション ○ クラウドのシークレットストア (Secrets Managerなど)と実行環境(ECS, Cloud Runなど)の統合機能を使い、環境変数またはファイルとしてシークレットを読み込む。 ● インフラ ○ クラウドのシークレットストアのリソース自体は Terraformで管理する。 ○ 実際のシークレットの値は ignore_changes を活用して手動で設定し、 Gitの管理から分離する。もちろん要件によって取りうる手段は変わるとは思います。他になにか良い方法をご存知でしたら教えて下さい。それでは良いシークレットライフを ! Copyright © 3-shake, Inc. All Rights Reserved. まとめ 19