HashiCorp | Vault （ボルト） | 東京エレクトロンデバイス

シークレット管理

機密性の高いデータやアプリ、システムなどに対するアクセスを自動化・効率化するために、信頼されるシークレットを管理します。Vaultを使うことで、動的に変化するインフラやアプリなどシステム間の連携においてアイデンティティに基づいたセキュリティを実装し、ゼロトラスト環境を実現します。

Vaultではシークレットのリクエストから発行、有効期限の管理、無効化まで一連のライフサイクルを管理するために、アクセス元となるユーザー・システム・アプリなどと、シークレットを管理するアイデンティティとアクセス管理（以下IAM）システムの間に入り、一連のプロセスを仲介します。

また他にも、Vaultを認証局(CA)とすることで、SSH公開鍵認証で利用するキーペアや、SSL/TLS証明書認証で利用するクライアント証明書のライフサイクル管理を効率化できます。

シークレット管理のプロセス

Vaultユースケース：静的なシークレット管理（キーバリューストア）

既に使用しているデータベースやAPIキーなどがファイルで管理されている場合、それらをVaultのキーバリューストアに保存します。
クライアントがアプリなどを利用する際には、Vaultから値を取得するAPIを実行し、それを環境変数に設定して使用する方法が取れます。
さらに、Vaultでは値を暗号化するため、情報をセキュアに管理できます。

Vaultユースケース：外部の運用者（Azure）の利用

Azureのシステム構築を外部業者に委託している場合を考えてみます。
Azureの契約は会社内で管理されているため、外部業者には適切な権限を与える必要があります。外部業者にシークレットを開示して使用してもらうことになります。本来、会社内で管理されているシークレット情報のためセキュリティ上好ましくありません。Vaultを使用すると、外部業者がシークレットを取得できる期間を制限できるため、長期間の利用はできません。また、有効期限が残っていても、Vaultから内部担当者がシークレットを強制的に削除できるため、漏えいリスクを低減できます。

Encryption-as-a-Serviceによる機密情報の保護

Vaultは機密性の高いデータを保護し安全に利用するために、データを処理するアプリとデータを保管するデータベースなどとの間で、データの暗号化・復号化のプロセスを仲介します。

データ暗号化リクエストはHTTP/HTTPS APIにより行われるため、モダンアプリとの親和性が高いです。また、Vaultのシステムで実際の暗号化処理と、暗号化データの解読能力を維持したままの暗号鍵の更新など鍵管理を行うことで、アプリから機密情報保護の処理をオフロードし、一元的な管理を実現します。

データ保護のプロセス

データ利用のプロセス

以下のプロセスでデータベースに保存されたデータ利用します。

1.  データ保護プロセスで暗号化されたデータを、アプリがデータベースから読み込み
2.  アプリがVaultに暗号化されたデータを送信
3.  Vaultが保持する暗号キーで対象データを復号化
4.  Vaultからアプリへ復号化済みデータを返送
5.  アプリが復号化済みデータを用いて処理

Vaultで実現する秘密情報管理のメリット

Vault Enterpriseを選択する理由

ディザスタリカバリを含めた高い可用性を実現するため

ネームスペースによるマルチテナント的な運用をするため

高度なデータ暗号化要件に対応するため

PDFでダウンロードする＞＞