Secrets Rotation

目次

• 概要
• 使用場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

認証情報、API キー、証明書、暗号化キーに対して、ダウンタイムなしのデプロイと包括的な監査ログを備えた自動シークレットローテーション戦略を実装します。

使用場面

• API キー管理
• データベース認証情報
• TLS/SSL 証明書
• 暗号化キーのローテーション
• コンプライアンス要件
• セキュリティインシデント対応
• サービスアカウント管理

クイックスタート

最小限の動作例:

// secrets-manager.js
const AWS = require("aws-sdk");
const crypto = require("crypto");

class SecretsManager {
  constructor() {
    this.secretsManager = new AWS.SecretsManager({
      region: process.env.AWS_REGION,
    });

    this.rotationSchedule = new Map();
  }

  /**
   * Generate new secret value
   */
  generateSecret(type = "api_key", length = 32) {
    switch (type) {
      case "api_key":
        return crypto.randomBytes(length).toString("hex");

      case "password":
        // Generate strong password
        const chars =
          "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*";
// ... (詳細な実装についてはリファレンスガイドを参照)

リファレンスガイド

references/ ディレクトリの詳細な実装:

ベストプラクティス

✅ すべきこと

• ローテーションを自動化する
• グレースピリオドを使用する
• 新しいシークレットを検証する
• ローテーション監査証跡を保持する
• ロールバック手順を実装する
• ローテーション失敗を監視する
• マネージドサービス (AWS Secrets Manager) を使用する
• ローテーション手順をテストする

❌ すべきでないこと

• シークレットをハードコーディングする
• シークレットを共有する
• 検証をスキップする
• グレースピリオドなしでローテーションする
• ローテーション失敗を無視する
• バージョン管理にシークレットを保存する