Infisical

Infisical を使うと、API キーやデータベースのパスワードを 1 か所に保管し、アプリを起動するときに環境変数として渡せます。最初は自分のパソコンに Docker Compose で立ち上げ、ダミーの値だけを入れて試すと安全です。

この記事は、.env ファイルで秘密情報を管理していて、もっと安全な方法を探している開発者に向けています。読み終えると、次のことができるようになります。

• Infisical を自分のパソコンで動かし、ダミーの秘密情報を登録する
• CLI でアプリを起動し、登録した値を環境変数として渡す
• infisical scan で、リポジトリに秘密情報が紛れていないか調べる

##Infisical でできること

公式ドキュメントと README には、秘密情報の管理について次の機能が載っています。

• 環境ごとの管理：プロジェクトの中で、開発用・本番用などの環境ごとに値を分けて持てます。変更のたびに新しい版が残り、前の状態に戻せます
• 実行時の受け渡し：CLI、SDK、エージェント、Kubernetes、CI/CD から値を取り出せます。GitHub や Vercel、AWS Secrets Manager などへ同期する機能もあります
• ローテーション：データベースの認証情報などを、決めた間隔で自動的に新しい値へ入れ替えます
• アクセス制御：ロール（RBAC）で、人と機械（マシン ID）がどの値を読み書きできるかを決めます
• 監査ログ：誰が何をしたかを記録します。ただし公式ドキュメントでは Pro 以上の有料プランの機能で、自前運用では Enterprise ライセンスが必要とされています
• シークレットスキャン：GitHub・GitLab・Bitbucket のリポジトリを継続して調べる機能と、手元のファイルや Git の履歴を CLI で調べる機能があります。CLI のスキャンは手元で動き、Infisical へのログインは要りません

秘密情報の管理のほかに、証明書の発行、暗号鍵の管理（KMS）、特権アクセス管理も同じ基盤に入っています。

.env ファイルを置くより安全な理由

公式ドキュメントは、Infisical の秘密情報管理を「.env ファイル、コードへの直書き、Slack などでの共有」を置き換えるものと説明しています。漏えいがよく起きる例として、.env ファイルをリポジトリにコミットしてしまうことや、環境変数を CI のログに出してしまうことを挙げています。Infisical を使えば値はサーバー側に暗号化して保管され、アプリは起動時に必要な分だけ受け取ります。手元に .env を置かずに済むので、うっかりコミットする元がなくなります。誰がどの環境の値を読めるかも、ロールで絞れます。

##クラウド版と自前で動かす版

Infisical には、運営元が管理する Infisical Cloud（app.infisical.com）と、自分の環境で動かす版があります。公式ドキュメントでは、どちらも中心となる機能は同じです。クラウド版は更新や運用を任せられます。自前で動かす版はデータを自分で持てる代わりに、更新・監視・バックアップを自分で担います。自前で動かす方法として、Docker、Docker Compose、Kubernetes、Linux パッケージが用意されています。

ライセンスはディレクトリで分かれています。リポジトリの大部分は MIT ライセンスです。ee ディレクトリ（有料の Enterprise 機能）だけは別の Enterprise ライセンスで、本番で使うには有効な契約が必要です。開発やテストの目的なら、契約なしでコピーや改変ができると書かれています。

##安全な試し方：自分のパソコンで動かす

試すときは、本物のパスワードや API キーを入れないでください。test-1234 のようなダミーの値だけを使います。公式の Docker Compose 構成は試用や小規模向けで、高可用性の本番には向かないと書かれています。

1. Docker と Docker Compose を入れます。公式の最小要件は CPU 2 コア、メモリ 4 GB、ディスク 20 GB です。

2. 作業用のフォルダで、構成ファイルと設定ファイルを取得します。

   curl -o docker-compose.prod.yml https://raw.githubusercontent.com/Infisical/infisical/main/docker-compose.prod.yml
   curl -o .env https://raw.githubusercontent.com/Infisical/infisical/main/.env.example

3. .env の ENCRYPTION_KEY と AUTH_SECRET は見本の値で、本番では使わないよう注記されています。試用でも、openssl rand -hex 16（ENCRYPTION_KEY）と openssl rand -base64 32（AUTH_SECRET）で作った値に置き換えておくと安心です。

4. 起動します。

   docker compose -f docker-compose.prod.yml up -d

5. ブラウザで http://localhost:80 を開き、管理者アカウントを作ります。最初に登録した人がインスタンスの管理者になるので、他の人に公開する前に済ませます。

6. プロジェクトを作り、Development 環境に DUMMY_API_KEY のようなダミーの値を 1 つ登録します。

##主な使い方：CLI で値を渡す

CLI は OS ごとに公式のパッケージがあります。

入れたら infisical --version で確かめます。続けて、次のように使います。

CLI が 0.43.145 以前だと sm がありません。その場合は infisical sm run の代わりに infisical run を使うか、CLI を新しくします。

infisical scan は漏れを見つける側の道具です。Gitleaks や TruffleHog も同じ側にあります。Infisical の秘密情報管理は、そもそも値をリポジトリに置かずに済ませる側なので、2 つを組み合わせると漏えいの防止と発見の両方に備えられます。

##注意点

##次に読む

• cd ../gitleaksGitleaksリポジトリに紛れ込んだ秘密情報を見つけるツール
• cat ~/guides/lab-setup.md安全な検証環境の作り方