HashiCorp Vault とは？

個人向けのパスワードマネージャーに近いけど、もっとスケールが大きいよ。アプリケーションが使うAPIキー、データベースのパスワード、TLS証明書など、システム全体のシークレットを一元管理するツールなんだ。

それが一番やってはいけないパターンだね。設定ファイルに書くとGitにコミットされちゃったり、ログに出ちゃったりするリスクがある。Vaultを使えば、アプリが起動時にAPIでシークレットを取得するから、コードやファイルに秘密情報を残す必要がないんだよ。

動的シークレットは、必要なときにVaultがその場で作って、使い終わったら自動で消す一時的な認証情報のことだよ。たとえばデータベースの一時ユーザーを5分だけ発行する、とかできる。万が一漏れても有効期限が切れてるから安全なんだ。

ポリシーベースのアクセス制御だよ。「このアプリはデータベースの認証情報だけ読める」「このチームはAWSの一時認証だけ取得できる」みたいに細かく設定できる。しかも全アクセスが監査ログに残るから、セキュリティ監査にも対応できるんだ。

最近はスタートアップでも導入するケースが増えているよ。特にKubernetesを使っている環境では、Vault Agent InjectorでPodにシークレットを自動注入できるから、開発者がシークレット管理を意識しなくて済む。セキュリティインシデントは企業規模に関係なく起きるから、早めに導入しておくのが賢明だね。