パスワード運用から卒業する方法～Vaultで始めるシークレット管理自動化～

自己紹介・中国上海出身・東京都町田市在住・データ系ソフトウェアのテクニカルサポート、カスタマーサクセス、パートナーイネーブルメント、プリセールスなどを担当 MENG XIAOXUAN モ
ショウケンカスタマーサクセス Customer Success, Technology, IBM Linkedin つながり大歓迎 © 2026 IBM Corporation 2

自己紹介 Naoyuki Kawaguchi 川口直之 IBM/HashiCorp Customer Success Engineer カスタマーサクセスとしてマルチクラウド推進・IaC普及
によるインフラ標準化と顧客成功の支援。 © 2026 IBM Corporation 3

Agenda 1. シークレット管理の概要 2. シークレットエンジンのユースケース 3. デモ © 2026 IBM
Corporation 4

シークレットとはユーザやシステムが他のシステムやデータにアクセスできるようにするモノ • • • • • • ユーザー名/パスワードクラウドの認証情報
API トークン TLS 証明書 SSH 鍵、暗号鍵など Azure client ID & client secret Database Secret Azure MySQLなど © 2026 IBM Corporation Cloud Secrets X.509 証明書 AWS Azure SSH Key GCP 7

シークレット運用に関する実体(2026年) 2025 年のパブリックコミットの中でシークレットが検出された数は 2,865万 (前年比 +34%) 正規アカウントの悪用はケースの約3分の1を占めており、攻撃者が引き続き正当な認証情報に依存していることが分かります。正当な認証情報は、脆弱性
悪用を必要とせず、通常の認証プロセスに自然に紛れ込めるため、攻撃者にとって依然として好まれる侵入手段の1つです。 The State of Secret Sprawl 2026: https://www.gitguardian.com/files/the-state-of-secretssprawl-report-2026 © 2026 IBM Corporation IBM X-Force 脅威インテリジェンス・インデックス 2026 https://www.ibm.com/jp-ja/reports/threat-intelligence 8

シークレット管理の共通したベストプラクティス • • • • 定期的なローテーション利用者に応じた細かな権限管理監査記録暗号化 •
• • © 2026 IBM Corporation AWS https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-access-keys-best-practices.html Azure https://docs.microsoft.com/ja-jp/azure/architecture/framework/security/design-storage-keys GCP https://cloud.google.com/iam/docs/best-practices-for-managing-service-account-keys?hl=ja 10

シークレットのライフサイクル ①シークレットの作成・登録 ②シークレットの保管 ③シークレットの付与とアクセスコントロール ④ローテーションと廃棄
監視&記録 © 2026 IBM Corporation 11

HashiCorp Vaultとは信頼できるアイデンティティを活用し、シークレットやアプリケーションデータを安全に保つインフラセキュリティ自働化の基盤を提供します Secrets Management クラウドやアプリケーションを跨り、インフラで必要なシークレットを一元的に管理します Data
Encryption 環境やワークロードを跨いで、アプリケーションデータを安全に保ちます • 個人情報やクレジットカード番号などの暗号化 • データベース、ストレージの暗号化 Our customers https://www.hashicorp.com/case-studies © 2026 IBM Corporation 12

Vault のシークレット管理の特徴悪意ある攻撃者に空間的な制約・時間的な制約をかける空間的な制約：攻撃対象面積の削減時間的な制約：攻撃可能時間の削減 unlimited ID ベースのアクセス制御 2y 90d
30d 1y 1y 一意で、一時的で最低限の権限を持つシークレットをジャストインタイムで TTL を付与し提供動的シークレット © 2026 IBM Corporation 13

Vaultの動作フロー例 ①HTTPS/TLS接続 Vault Server App ユーザー Auth Method LDAP/OIDC/AppRole ②認証情報を取得
Token Store/Identity Policyによるチェック ③誰がアクセスしているかをチェックし、権限に応じてトークンを発行する暗号化 Secret Engine API通信 ④権限に応じてシークレットを発行する ⑤各動作をログとして記録し、ストレージバックエンドに保存する Expiration Manager Audit Broker/Device設定 AWS 暗号化/復号 Log保存 Storage Backend © 2026 IBM Corporation 14

シークレットエンジン(Secrets Engines) とは Vaultがクライアント側に提供する機能群の総称。シークレットエンジンの機能はそれぞれ異なる - シークレットを複合化して取り出すもの、外部のシステムと連携をする - シークレットを生成する -
暗号化の機能を提供する - TOTP(Time-based One-Time Password時間ベースのワンタイムパスワード)を生成する - 証明書を生成するなどシークレットエンジンは Vaultの”Path”で有効化（マウント）され、内部でルーティングで利用されたり、クライアントの権限管理の対象となる。 © 2026 IBM Corporation 15

Vault のシークレットエンジンの種類 • Amazon Web Services • Microsoft Azure •
Google Cloud Platform • AliCloud • Kubernetes • PKI • Venafi • SSH • Active Directory • OpenLDAP • Terraform Enterprise / Cloud • Consul • Nomad • RabbitMQ • (Redis) © 2026 IBM Corporation • Database - Cassandra - Couchbase - Elasticsearch - HanaDB - IBM Db2 - InfluxDB - MongoDB / Atlas - MSSQL - MySQL / MariaDB - Oracle - PostgreSQL - Redshift - Snowflake • TOTP • Key Value Store • Transit • Google Cloud KMS • Transform - Format Preserving - Tokenization - Masking • KMIP • Key Management • Vault Secrets Operator • HCP Vault Radar 16

Databaseシークレットエンジン •データベースのシークレットを動的に管理するシークレットエンジン •プラグインを通して様々な種類のデータベースのシークレットに対応 -ビルトインプラグイン: バイナリに同包されており、デフォルトで使えるプラグイン (Elasticsearch、IBM DB2、Redis、MySQL、MongoDB、Oracle、PostgreSQL、Redshift、 Snowflakeなど) -カスタムプラグイン:提供されているフレームワークを使った独自プラグイン ©
2026 IBM Corporation 18

Vault の動的シークレット管理 Clients App トークン ①シークレット要求 ③シークレット提供動的シークレット
= 一意で、一時的で最低限の権限を持つシークレット • • • ④TTL 後シークレット破棄 ②シークレット発行 TTL=1hour • • Backends 期限付き最小権限のシークレットを必要な時のみ生成常時新しいキーを利用全クライアントが別のシークレットを保持設定ファイル等にシークレットの直書きをさせないシークレットの直書きを防ぐためのVault Agent、 Template機能、Kubernetes Secret Injectorなど自動注入機能がある MySQL、PostgreSQLなど © 2026 IBM Corporation 19

PKIシークレットエンジン • TLS 通信に必要なX.509証明書を動的に生成するシークレットエンジン • TLS 通信を行う際の一般的なX.509証明書発行の手動プロセスを Vault で実行可能（秘密鍵とCSRを生成→CSRを認証局に送信→認証局による検証と署名）
© 2026 IBM Corporation 20

認証局としてのユースケースルート認証局もしくは中間認証局としての利用証明書要求 CSR 署名 Webサーバー Vaultサーバー X.509 証明書 ©

シークレット管理の代表的なユースケース 1 アプリケーションからの利用 CI / CD からの利用 Test & Build
Get Secret Deploy to AWS Revoke アプリケーションデータベースデータベースのユーザー/ パスワード AWS AWS 認証情報 SSH ログインでの利用外部の運用者からの利用有効期間内のみ作業可能内部の人一週間限りの証明書を発行外部の人発行するキーの権限を設定キーを発行する Vault の ACL と TTL を設定ワンタイムパスワードを要求有効期間内のみ作業可能許可されたキーのみ発行可能 Azure 1度だけ作業可能 © 2026 IBM Corporation サービスプリンシパル 22

シークレット管理の代表的なユースケース 2 静的なシークレット管理 LDAP ユーザパスワードのローテーションユーザ Rotation_period に基づいた一時的なパスワードを発行パスワードを要求
Microsoft AD 生成したパスワードを返却生成されたパスワードを利用し、利用後に破棄ツールとの連携 Vault Plugin Vault Plugin 証明書管理 CSR CSR Cert Cert Intermediate & Root CA © 2026 IBM Corporation • 証明書の取得 • 証明書の破棄 • 権限管理 • 証明書の期限管理 23

デモンシナリオ ④有効期間内のみ作業可能開発者 © 2026 IBM Corporation ①認証情報をリクエスト ②動的認証情報を生成 ③動的認証情報をユーザーに反映
⑤TTL後に自動削除 Vault データベース 25

デモンシナリオ Vault © 2026 IBM Corporation データベース ①PostgreSQL内のテーブルを確認 ④開発者用ロールを作成す
る ②Vaultのデータベースシークレットエンジンの有効化 ⑤開発者用ロールを使ってデータベースに接続 ③VaultとPostgreSQLの接続設定 ⑥有効期限超過後データベースに接続 26

ダッシュボード Vault管理や初期設定を素早く行うためのショートカット Secrets enginesはシークレットを保管する論理単位 © 2026
IBM Corporation Vault の基本的な構成情報をひと目で確認できるセクション 29

シークレットエンジンの設定 Vault のDatabase Secrets Engineが各データベースと通信する際に、プラグインがそのデータベース専用の言葉（SQLや独自のAPI）に翻訳して、実際にユーザー作成コマンドなどを実行する。 © 2026 IBM
Corporation 34

シークレットエンジンの設定 HashiCorp Vault がターゲットのデータベースに対し「同時に保持できる最大接続数」を制限するための設定パラメータです。使用されていないが、いつでも使える状態で維持するコネクション数。 1つのコネクションを使い回す最長時間。30s や
1h など。 © 2026 IBM Corporation 35

ロールの設定現在の有効期限です。例: TTLを1時間（1h）に設定した場合、1時間経つと使えなくなりますが、 50分後にリニューアルすれば、そこからまた1時間寿命が延びます。絶対的な有効期限の上限です。例: TTLが1時間、Max TTLが24時間に設定されている場合、1時間ごとのリニューアルを23回繰り返せますが、24時間経過した瞬間に、二度と更
新できなくなります。 © 2026 IBM Corporation 36

ロールの設定ユーザーが新しいシークレットを要求した時データベースユーザーの作成、権限（GRANT）の付与。有効期限（TTL）が切れた時、手動で削除した時ユーザーの削除（DROP）、または権限の剥奪。作成や削除などの操作が失敗した時中途半端に残ったデータの掃除や、元の状態への復旧。リースの更新（延長）が要求された時パスワードの有効期限の延長や、アカウント状態の確認。 ©

ロールの設定ユーザーが新しいシークレットを要求した時データベースユーザーの作成、権限（GRANT）の付与。有効期限（TTL）が切れた時、または手動で削除した時ユーザーの削除（DROP）、または権限の剥奪。作成や削除などの操作が失敗した時中途半端に残ったデータの掃除や、元の状態への復旧。リースの更新（延長）が要求された時パスワードの有効期限の延長や、アカウント状態の確認。 ©

まとめ・シークレット管理のあるべき姿 -定期的なローテーション - 利用者に応じた細かな権限管理 - 監査記録 - 暗号化・HashiCorp
Vaultを使ったシークレット管理のメリット - シークレット管理の自動化 -悪意ある攻撃者に空間的な制約・時間的な制約をかける - API連携や自動化ツール（Ansible、Terraform等）との親和性が高い・シークレットエンジンのユースケースを理解する - 動的シークレットの自動発行 - 内部認証局として証明書の自動発行 © 2026 IBM Corporation 40

ワークショップ、セッション、および資料は、IBMまたはセッション発表者によって準備され、それぞれ独自の見解を反映したものです。それらは情報提供の目的のみで提供されており、いかなる参加者に対しても法律的またはその他の指導や助言を意図したものではなく、またIBM製品やサービスがお客様に適用ある特定の法令に適合することを保証するものでもありません。本講演資料に含まれている情報については、完全性と正確性を期するよう努めておりますが、「現状のまま」提供され、明示または黙示にかかわらず、商業性、特定の目的への適合性、非侵害性を含め、いかなる保証も伴わないものとします。本講演資料またはその他の資料の使用によって、あるいはその他の関連によって、いかなる損害が生じた場合も、IBMは責任を負わないものとします。本講演資料で言及されるIBM製品、プログラム、またはサービスは、IBM がビジネスを行っているすべての国・地域でご提供可能なわけではありません。本講演資料で言及される将来の展望（製品リリース日付や製品機能を含む）は、市場機会またはその他の要因に基づいてIBM独自の決定権をもっていつでも変更できるものとし、将来の製品または機能が使用可能になること、もしくは特定の結果を確約することを意図するものではありません。本講演資料は、言及される IBM製品またはサービスに適用ある契約条件を変更するものでも、追加の表明または保証を意図するもので
もありません。本講演資料に含まれている内容は、参加者の活動によって特定の結果が生じると述べる、または暗示することを意図したものでも、またそのような結果を生むものでもありません。パフォーマンスは、管理された環境において標準的なIBMベンチマークを使用した測定と予測に基づいています。ユーザーが経験する実際のスループットやパフォーマンスは、ユーザーのジョブ・ストリームにおけるマルチプログラミングの量、入出力構成、ストレージ構成、および処理されるワークロードなどの考慮事項を含む、数多くの要因に応じて変化します。したがって、個々のユーザーがここで述べられているものと同様の結果を得られると確約するものではありません。記述されているすべてのお客様事例は、それらのお客様がどのようにIBM製品を使用したか、またそれらのお客様が達成した結果の実例として示されたものです。実際の環境コストおよびパフォーマンス特性は、お客様ごとに異なる場合があります。 IBM、IBM ロゴ、は、世界の多くの国で登録されたInternational Business Machines Corporationの商標です。他の製品名およびサービス名等は、それぞれIBMまたは各社の商標である場合があります。現時点での IBM の商標リストについては、www.ibm.com/legal/copytrade.shtmlをご覧ください。 © 2026 IBM Corporation 41

パスワード運用から卒業する方法～Vaultで始めるシークレット管理自動化～

パスワード運用から卒業する方法～Vaultで始めるシークレット管理自動化～

Xiaoxuan Meng

More Decks by Xiaoxuan Meng

Featured

Transcript