アクセスキーこわい やめかたと漏らさない工夫

gitleaksでシークレットの混入を検知する運用をしていると、ふと思います。「そもそもアクセスキーの利用をやめられないか？」と。

本セッションでは、AWSアクセスキーを題材に、利用をやめるための考え方、やめられない現実との向き合い方、そして残るリスクをどう守るかについてお話しします。

Transcript

1. アクセスキーこわい やめかたと漏らさない工夫 2026.09.16 JAWS-UG名古屋 9月会 ソフトウェアシステム開発部 データプラットフォーム開発室 佐藤 雄一
2. 自己紹介 佐藤 雄一（さとう ゆういち） • トヨタテクニカルディベロップメント株式会社（TTDC）所属 • 社内でプラットフォームエンジニアリングの推進 • AWS Community Builder • 2026 Japan All AWS Certifications Engineer • 1982年生まれ、コーヒー好き 1
3. 背景 2 gitleaksって使ってますか？
4. gitleaks とは 3 • git リポジトリ、ファイルなどから、パスワード、API キー、アクセスキーなどのシーク レットを検出するツール • GitHub Actions（サーバー） • シークレットが含まれていたら通知させ、漏洩の初動対応 • pre-commit（クライアント） • コミットするファイルにシークレットが含まれていたらコミットさせない https://github.com/gitleaks/gitleaks 取得:2026/08/05 21:38 JST
5. 背景 4 そもそもアクセスキーの 利用をやめられないか
6. アクセスキーとは • IAMユーザーに紐つく認証情報 • アクセスキー ID とシークレットアクセスキーのペア • AWS CLI や SDK から AWS を操作するときに使う • メリット • どこでも使えて、仕組みが単純 5 AWS Identity and Access Management (IAM) Long-term security credential • デメリット • 有効期限がない • 手動ローテーション • 漏洩すると、そのまま不正利用に直結 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credentials_access-keys.html 取得:2026/08/03 17:13 JST
7. 漏れたアクセスキーは13分で使われる • GitHub への push から13分で外部から利用開始（有志の検証） • 利用開始から 10分 でマイニング稼働（AWS） • 4日で244台のVMが起動され、$64,000の請求が発生 • 大半は24時間以内に起動 • DXC spills AWS private keys on public GitHub • 請求データの更新は 少なくとも24時間に1回（AWS） 気づいて消す運用だと間に合わない 6
8. 使うシーンと代替案 アクセスキーこわいです 代替案ってないの？ 7
9. 使うシーンと代替案 8 シーン 開発者 アクセスキー aws configure で設定 AWS リソース (EC2 / Lambda / ECS) CI/CD (GitHub Actions など) オンプレ・外部サーバー リソースに埋め込み 代替案 aws login aws sso login IAMロール Secrets に登録 OIDC サーバーに配布 IAM Roles Anywhere • 代替案のすべてが有効期限付きの一時クレデンシャル
10. 移行できない理由 本当に必須なシーンは案外少ない 実は 移行できないだけ かも 9
11. 移行できない理由 • ロールやOIDCに非対応、アクセスキーしか受け付けない古いツール • 証明書運用ができず、IAM Roles Anywhere が組めない環境 • 改修できないレガシーアプリ • その場限りの使い捨て検証 10
12. アクセスキーはこうして漏れる アクセスキーって どうやって漏れると思いますか？ 11
13. アクセスキーはこうして漏れる カテゴリ 共有 / 受け渡し系 漏れかた • Git にコミットして push • Slack やチャット、メールに貼って共有 • 登壇資料やブログ、スクショに映り込む 配布物に埋め込み系 • フロントのJSやモバイルアプリに埋め込み • Docker イメージのレイヤーに残ったまま配布 • 配布用のビルド成果物やインストーラーに混入 環境 / 運用系 • CI/CD のビルドログに出力 • ローカル PC がマルウェアに感染して抜かれる • 退職者が持ち出し • “悪意ある攻撃” より “うっかり” が圧倒的に多い 12
14. 守りは3段構え “うっかり”は3段構えの 仕組みで止めましょう 13
15. 守りは3段構え カテゴリ 予防 （漏れさせない） 防御 （漏れても被害を最小に） 検知 （漏れたら気づく） 14 守りかた • gitleaks（pre-commit） • GitHub Push Protection • 最小権限ポリシー • 利用元制限 • 定期ローテーション • gitleaks（GitHub Actions） • Amazon GuardDuty
16. 漏れてしまったら もし検知したら 即無効化しましょう 15
17. まとめ 16 •アクセスキーをやめるための代替案がある •やめることができない事情もある •漏らさないために3段構えで守る セキュリティはビジネスの基盤 記事はコチラ Scan or Click！
18. 「叶えたい」を「実現できる」に 私たちは、知恵と技術に”思い”を込めて、 次代を支える開発に挑み続けます。