Name: HashiCorp | Vault
Brand: HashiCorp, Inc. (HashiCorp(ハシコープ))

主な特長

シークレット管理

機密性の高いデータやアプリ、システムなどに対するアクセスを自動化・効率化するために、信頼されるシークレットを管理します。Vaultを使うことで、動的に変化するインフラやアプリなどシステム間の連携においてアイデンティティに基づいたセキュリティを実装し、ゼロトラスト環境を実現します。

Vaultではシークレットのリクエストから発行、有効期限の管理、無効化まで一連のライフサイクルを管理するために、アクセス元となるユーザー・システム・アプリなどと、シークレットを管理するアイデンティティとアクセス管理（以下IAM）システムの間に入り、一連のプロセスを仲介します。

また他にも、VaultをCA認証局とすることで、SSH公開鍵認証で利用するキーペアや、SSL/TLS証明書認証で利用するクライアント証明書のライフサイクル管理を効率化できます。

シークレット管理のプロセス

① アクセス元からシークレットの新規発行申請を受け付け
② リクエストに基づきIAMにシークレット発行を指示
③ IAMから発行されたシークレットの有効期限を内部に保持
④ シークレットをアクセス元に提供
⑤ アクセス元は発行されたシークレットで宛先へアクセス
⑥ シークレットの有効期限が切れたら、IAMに該当シークレットの無効化を指示
⑦ ①に戻る。有効期限切れシークレットを利用していたアクセス元は、改めてVaultにシークレットの新規発行申請を行う

Encryption-as-a-Serviceによる機密情報の保護

Vaultは機密性の高いデータを保護し安全に利用するために、データを処理するアプリとデータを保管するデータベースなどとの間で、データの暗号化・復号化のプロセスを仲介します。

データ暗号化リクエストはHTTP/HTTPS APIにより行われるため、モダンアプリとの親和性が高いです。また、Vaultのシステムで実際の暗号化処理と、暗号化データの解読能力を維持したままの暗号鍵の更新など鍵管理を行うことで、アプリから機密情報保護の処理をオフロードし、一元的な管理を実現します。

データ保護のプロセス

① アプリがVaultに保護対象のデータを送信
② Vaultが保持する暗号キーで対象データを暗号化されている
③ Vaultからアプリへ暗号化済みデータを返送
④ アプリが受け取った暗号化済みデータをデータベースに保管

データ利用のプロセス

① データ保護プロセスで暗号化されたデータを、アプリがデータベースから読み込み
② アプリがVaultに暗号化されたデータを送信
③ Vaultが保持する暗号キーで対象データを復号化
④ Vaultからアプリへ復号化済みデータを返送
⑤ アプリが復号化済みデータを用いて処理

Vaultで実現する秘密情報管理のメリット

シークレットの集中管理	シークレットの集中管理を実現し、必要に応じて都度発行することで、シークレットをアプリのソースコードや実行環境の環境変数などに保持させる必要が無くなります。無秩序なシークレットの拡散を排除し、情報漏えいリスクを低減します。
動的シークレットの運用	アクセスごとに有効期限付きシークレットを生成・期限切れ後は無効とするライフサイクル管理を行うことで、同じシークレットの長期利用や使い回しを排除し、情報漏えいリスクを低減させます。また誰が、いつ、何をしていたかの追跡に役立ちます。
シークレットライフサイクル管理を自動化	シークレットのライフサイクル管理を自動化することで、管理者を煩雑なマニュアル作業でのシークレット管理から開放します。
役割ベースのアクセスコントロール（RBAC）	アイデンティティ認証に基づいた役割ベースのアクセスコントロール（RBAC）を実現します。
ゼロトラスト	ユーザーアクセス、APIアクセス、システム間アクセスなどシステム全体に渡ってアイデンティティに基づくRBACを適用することで、ゼロトラストの導入を推進します。
データの暗号化	アプリやデータベースとは独立したシステムでデータの暗号化を実装することで、情報漏えいリスクを低減させます。

Vault Enterpriseを選択する理由

ディザスタリカバリを含めた高い可用性を実現するため

ネームスペースによるマルチテナント的な運用をするため

高度なデータ暗号化要件に対応するため

		Vault OSS	Vault Enterprise
概要		基本機能を提供する、無償利用可能なパッケージ	エンタープライズクラスの要件に対応するための機能を実装した有償パッケージ
製品情報	提供形態	ソフトウェアパッケージ	ソフトウェアパッケージ
	デプロイ先	お客様のインフラ	お客様のインフラ
	クラウドへデプロイ	〇	〇
	オンプレミスへデプロイ	〇	〇
シークレット管理	シークレットの集中管理	〇	〇
シークレット管理	動的シークレット	〇	〇
データ保護	暗号化	〇	〇
	マスキング		〇
	トークナイゼーション		〇
	Format Preserving Encryption（FPE）		〇
CA認証局	SSH鍵管理	〇	〇
CA認証局	SSL/TLSクライアント証明書管理	〇	〇
運用	クラスタリング * シングルDC	〇	〇
	レプリケーション * DC間		〇
	パフォーマンススタンバイ		〇
	Integrated Storageのスナップショット自動化		〇
	クラスターの結果整合性担保		〇
組織利用	ネームスペース		〇
	ネームスペースレベルのレプリケーション機能Mount Filter
	クォータへのシークレットリース数制限		〇
セキュリティ	多要素認証		〇
	HSMのサポート		〇
	FIPS140-2準拠のためのSeal Wrap
	KMIPサーバー		〇
	エントロピーの強化（外部暗号モジュールのサポート）		〇
	外部KMSのサポート		〇
ガバナンスとポリシー	Policy-as-Code機能Sentinelの利用		〇
ガバナンスとポリシー	複数人承認に基づくシークレット発行機能 Control Groups		〇
サポート	弊社によるEメールおよび電話でのサポート		〇

メーカー情報