シークレット管理とは？APIキーやパスワードをしまう製品の種類（クラウド付属・SaaS・自社に置ける型）と選び方

シークレット管理とは

シークレット管理は、コードや設定ファイルに書いていた認証情報を外に出して、1か所にしまう製品です。アプリは実行するときに取りに行きます。誰が使ったかの記録が残り、入れ替えも1か所で済みます。

比較ページには、自社で開発または自社ブランドで提供する製品を載せています。

3つの種類

• クラウドに付いてくる型：クラウドのサービスとして契約します。例はAWS Secrets Manager、Azure Key Vault、Google Cloud Secret Manager、IBM Cloud Secrets Manager、OCI シークレット管理サービス、さくらのクラウド シークレットマネージャです
• クラウドをまたぐSaaSの型：複数のクラウドや開発ツールをまとめます。例はKeeperシークレットマネージャー、CipherTrust Secrets Managementです
• 自社にも置ける型：SaaSのほかに自社のデータセンターで動かせます。例はIdira Secrets Managerです

自動更新の違い

• AWS Secrets Managerは、RDSやDocumentDBの認証情報の入れ替えに標準で対応します
• さくらのクラウドは、間隔を7〜365日で決められ、対象はデータベースだけです
• Azure Key Vaultは、Event Gridの通知と関数で自分で組みます
• Google Cloud Secret Managerは、スケジュールを決めてPub/Subで通知を受け、更新の処理は自分で組みます

価格

• さくらのクラウドは、保管庫1個で月132円（税込）⁠で⁠す⁠。ローテーションは1件で月11,000円（税込）⁠で⁠⁠⁠⁠す
• AWS Secrets Managerは、公式の例で15シークレット月6.00 USDです。APIコールは別です
• Google Cloud Secret Managerは、アクセス10,000回あたり0.03米ドルで、有効なバージョンの料金は別です
• Keeperシークレットマネージャーは、ビジネス向けパスワードマネージャーのアドオンで、ユーザーごとの年単位の契約です

選ぶときに先に決めること

• アプリがどのクラウドで動いているか。1つにまとまっていれば、付いてくる型から見ます
• 自動で入れ替えたい相手は何か。データベースだけか、外部のSaaSも含むかで製品が変わります
• データの置き場所に決まりがあるか。外とつながらない環境なら、自社に置ける型を見ます

別の製品で扱うもの

• 人が使う特権IDの貸し出しは、特権ID管理（PAM）の役目です
• 暗号鍵そのものを守るのは、HSMやKMSの役目です
• 人がログインに使うパスワードは、パスワード管理ツールの役目です