secrets-rotation

シークレットのローテーション

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

認証情報、API キー、証明書、暗号化キーを対象に、ダウンタイムのないデプロイと包括的な監査ログを実現する、自動化されたシークレットローテーション戦略を実装します。

使用する場面

• API キーの管理
• データベースの認証情報
• TLS/SSL 証明書
• 暗号化キーのローテーション
• コンプライアンス要件
• セキュリティインシデントへの対応
• サービスアカウントの管理

クイックスタート

最小限の実行例：

// secrets-manager.js
const AWS = require("aws-sdk");
const crypto = require("crypto");

class SecretsManager {
  constructor() {
    this.secretsManager = new AWS.SecretsManager({
      region: process.env.AWS_REGION,
    });

    this.rotationSchedule = new Map();
  }

  /**
   * Generate new secret value
   */
  generateSecret(type = "api_key", length = 32) {
    switch (type) {
      case "api_key":
        return crypto.randomBytes(length).toString("hex");

      case "password":
        // Generate strong password
        const chars =
          "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*";
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリに、詳細な実装例があります。

ガイド	内容
Node.js Secrets Manager with Rotation	ローテーション機能を備えた Node.js Secrets Manager
Python Secrets Rotation with Vault	Vault を使用した Python のシークレットローテーション
Kubernetes Secrets Rotation	Kubernetes のシークレットローテーション

ベストプラクティス

✅ 実施すること

• ローテーションを自動化する
• 猶予期間を設ける
• 新しいシークレットを検証する
• ローテーションの監査記録を維持する
• ロールバック手順を実装する
• ローテーションの失敗を監視する
• マネージドサービス（AWS Secrets Manager）を使用する
• ローテーション手順をテストする

❌ 避けること

• シークレットをハードコードする
• シークレットを共有する
• 検証を省略する
• 猶予期間を設けずにローテーションする
• ローテーションの失敗を無視する
• シークレットをバージョン管理に保存する