secrets-vault-manager

シークレット保管庫マネージャー

カテゴリー： エンジニアリング 分野： シークレット管理とセキュリティ

概要

シークレット保管庫マネージャースキルは、HashiCorp Vault の設定生成、シークレットのローテーションサイクルの計画とスケジュール作成、疑わしいアクセスパターンを特定するための保管庫監査ログの分析に役立つツールを提供します。大規模にシークレットを管理するチームに不可欠です。

最初に確認すること

設定や計画を生成する前に、以下の入力内容を確認してください。不明または曖昧な項目があれば、推測せずに質問してください。

• タスク — 設定生成／ローテーション計画／監査ログ分析（実行するスクリプトとワークフロー全体を決定します）
• 環境とシークレットエンジン — 例：本番環境 + kv/database/transit（--env、--secrets-engines。生成される HCL の内容を左右します）
• シークレットの一覧と分類 — シークレットごとに Critical/High/Medium/Low を設定します（ローテーション頻度とスケジュールを決定します）

停止ルール：出力に最も大きな影響を与える項目を2〜3個だけ質問してください。ユーザーが「とりあえず草案を」と言った場合は、そのまま進め、成果物の冒頭に前提を列挙してください。

クイックスタート

# Generate Vault configuration
python scripts/vault_config_generator.py --env production --secrets-engines kv,database,transit

# Plan secret rotation schedule
python scripts/rotation_planner.py --inventory secrets_inventory.json

# Analyze vault audit logs
python scripts/audit_log_analyzer.py --log-file vault_audit.log --format json

ツールの概要

ツール	目的	主なフラグ
vault_config_generator.py	HashiCorp Vault の設定を生成する	--env、--secrets-engines、--auth-methods
rotation_planner.py	シークレットのローテーションサイクルを計画し、スケジュールを作成する	--inventory、--policy、--format
audit_log_analyzer.py	保管庫の監査ログを分析し、異常を検出する	--log-file、--time-range、--format

ワークフロー

Vault の初期設定

1. 環境と必要なシークレットエンジンを定義します
2. vault_config_generator.py を実行して HCL 設定を生成します
3. 生成された設定を確認してカスタマイズします
4. Terraform または Vault CLI で適用します

シークレットのローテーション計画

1. シークレットの一覧を作成します（JSON）
2. rotation_planner.py を実行してスケジュールを生成します
3. ローテーション計画を確認し、頻度を調整します
4. 可能な場合は、自動ローテーションを実装します

監査ログの調査

1. Vault の監査ログをエクスポートします
2. audit_log_analyzer.py を実行して異常を検出します
3. フラグが付いたイベントを確認します
4. 疑わしいアクセスパターンを調査します

参考ドキュメント

• シークレット管理ガイド - ベストプラクティス、ローテーションポリシー、コンプライアンス要件

よくあるパターン

シークレットの分類

• Critical：データベース認証情報、API マスターキー、暗号化キー
• High：サービスアカウントトークン、OAuth シークレット、TLS 証明書
• Medium：サードパーティ API キー、Webhook シークレット
• Low：公開 API キー、機密性のない設定