infisical-self-host

Infisical セルフホストデプロイ

このスキルでは、セルフホスト環境での Infisical のデプロイ、設定、運用について説明します。Docker、Docker Compose、Kubernetes のいずれで Infisical を実行する場合でも、このリソースでは基本的なセットアップ、セキュリティ強化、スケーリング、メンテナンスのパターンを網羅しています。

このスキルではないもの

ユーザーが求める内容...	使用するもの
Kubernetes Operator のデプロイ（同じく Helm チャートですが別物です）	infisical-kubernetes-operator
Infisical からプライベートリソースへのアクセス	infisical-gateway
インスタンスでの SSO または SCIM の設定	infisical-sso
ロール、権限、監査ログストリーム	infisical-access-control
稼働中の Infisical の使用方法	infisical-setup
ルートキーを支える外部 KMS または HSM	infisical-kms

Helm に関する混同は先に解消しておく価値があります。secrets-operator チャートがインストールするのは operator です。このスキルが扱うのは プラットフォーム をインストールするチャートです。どちらも同じ Cloudsmith リポジトリから提供されています。

基本原則

1. ENCRYPTION_KEY は重要です: このキーは保存時のすべてのシークレットを暗号化し、失われると復元できません。バックアップし、Infisical のローテーション手順に従って慎重にローテーションしてください。

   • 標準デプロイ: ランダムな 16 バイトの hex 文字列 — openssl rand -hex 16
   • FIPS 有効化デプロイ: 代わりに 256 ビットの base64 キー — openssl rand -base64 32

2. AUTH_SECRET は必須です: このキーはセッションおよび JWT 署名に使用されます。32 バイト（base64）で、openssl rand -base64 32 で生成し、再起動をまたいで安定している必要があります。

3. データベース要件: サポートされるデータベースは PostgreSQL のみです。互換性のために 14 以上を使用してください。Infisical は 16 で広範囲にテストされています。Infisical をアップグレードする前に必ずデータベースをバックアップしてください。スキーママイグレーションは起動時に自動実行されます（v0.111.0-postgres 以降）。

4. Redis は単なるキャッシュではなく必須の依存関係です: キャッシュに加えて、バックグラウンドジョブキュー、分散ロック、インスタンス間の調整状態、レート制限カウンターを保持します。REDIS_URL、REDIS_SENTINEL_HOSTS、REDIS_CLUSTER_HOSTS のいずれかが設定されていない限り、インスタンスは起動しません。また、Redis に到達できない間は稼働中のインスタンスが機能低下状態になります。

   • Redis 6.x または 7.x を使用してください。少なくとも 6.2 を推奨します
   • 3 つのトポロジーすべてをサポートしています: standalone、Sentinel、Cluster
   • アクティブ-パッシブを推奨します。 アクティブ-アクティブはテストされておらず、文書化されていない動作をする可能性があります
   • 削除ポリシーを noeviction に設定してください。 これはチューニングの提案ではなく必須です — メモリ不足時にキーを削除すると、キューに入った処理が黙って失われます
   • 永続化を有効にし（AOF、または最低でも RDB スナップショット）、Redis をバックアップしてください。保留中のシークレットローテーション、同期、Webhook 配信はそこに存在します。空の状態で復帰した Redis はそれらを失います
   • Redis にはアプリインスタンスと同じ可用性目標を設定してください — レプリケーションされていない Redis はデプロイ全体の単一障害点です

5. ステートレスアーキテクチャ: Infisical はステートレスです。レプリカを追加して水平にスケールします。すべての状態は PostgreSQL と Redis に存在します。各インスタンスに必要なのは最大 2～4 CPU コアと 4～8 GB メモリです。1 つを大きくするのではなく、コンテナを追加してください。

6. FIPS コンプライアンス: Infisical は FIPS 140-3 に準拠しています。別個の infisical/infisical-fips Docker イメージ（Enterprise 専用イメージであり、標準リポジトリのタグではありません）をデプロイし、FIPS_ENABLED=true を設定してください。FIPS モードでは ENCRYPTION_KEY の形式が 256 ビット base64 に変わることを忘れないでください。

クイックスタート

• Docker スタンドアロン: infisical/infisical:<version> をプルし、環境変数を設定して、ポート 8080 で実行します。
• Docker Compose: リポジトリの docker-compose.prod.yml を PostgreSQL および Redis サービスとともに使用します。
• Kubernetes: Cloudsmith レジストリから Helm チャート infisical-standalone-postgres を使用してデプロイします（オプションでマネージドデータベースを利用可能）。

リファレンスガイド

環境変数

すべての設定用環境変数の完全なリファレンスです。以下を含みます:

• 必須キー (ENCRYPTION_KEY、AUTH_SECRET、データベース、Redis)
• データベースとレプリケーションのセットアップ
• Sentinel 対応の Redis
• SMTP 設定
• OAuth/SSO プロバイダー
• FIPS とテレメトリの設定
• セキュリティオプション

Docker デプロイ

Docker および Docker Compose のデプロイパターンです。以下を含みます:

• スタンドアロンコンテナのセットアップ
• Docker Compose 本番スタック
• イメージバリアント (標準および FIPS)
• セキュリティケイパビリティと読み取り専用ファイルシステムによる本番環境のハードニング
• ヘルスチェック

Kubernetes デプロイ

Kubernetes および Helm のデプロイガイドです。以下を含みます:

• Helm チャートのインストールと設定
• Secret の作成と管理
• オプションの PostgreSQL および Redis (Bitnami チャート)
• Pod セキュリティと RBAC
• ネットワークポリシーと Ingress/TLS

スケーリングと高可用性

本番環境のスケーリングパターンと HA アーキテクチャです。以下を含みます:

• 水平スケーリング (レプリカの追加)
• Infisical、PostgreSQL、Redis のサイジングガイドライン
• データベースの読み取りレプリカ
• HA のための Redis Sentinel
• バックアップとアップグレードの手順
• ライセンスサーバーのファイアウォールルール