鍵を発行しない運用

なぜ長期の鍵の配布を減らすのか

手元の作業ツールからデータベースやクラウドを管理するとき、長期のAPIキーを発行して貼り付ける以外の方法もあります。対応するツールではブラウザで本人を確かめ、必要な資格情報を取得します。手動で鍵を配る場面を減らし、誰に権限を渡したかを管理しやすくします。

鍵を渡さず、担当者に権限を渡す

データベースの管理を引き継ぐとき、共通の管理用キーをチャットで渡すと、後から誰が持っているか追いにくくなります。各担当者のアカウントに必要な権限を付け、本人としてログインする方法を使えるか確認します。

たとえばNeon CLIはブラウザ認証で利用でき、管理用APIキーの手動発行を省けます。ただし、ログイン後の資格情報は設定ファイルやOSのキーチェーンへ保存されるため、その保存先は保護します。

Google Cloudなどのクラウドでも、組織の権限管理を使って担当者のアカウントへ必要な権限を渡します。担当を外すときは権限を解除し、既存セッションや発行済み資格情報へどう反映されるかを確かめます。

人がいない自動処理は、どう入る？

テストなどを自動で行う仕組み（CI）や公開の自動処理には、ブラウザを開く担当者がいません。そこで、個人のアカウントを使い回すのではなく、実行している処理自体のIDを相手に確かめてもらいます。

対応する環境では、外部のIDを確認する仕組み（OIDC）を使う連携などで、短期の資格情報を取得します。どのリポジトリや実行条件を信頼するかを絞り、処理に必要な権限だけを付けます。自動処理だから長期の鍵が必須、というわけではありません。

押さえておきたい用語

ブラウザ経由のOAuth / OIDC

ツールがブラウザ経由で利用者の許可を得る方式。OAuthはアクセス権限の委譲、OIDCはその上で本人確認を扱う。

API キー

APIへのアクセスに使う秘密の値。権限や有効期限を設定できる場合もあり、保管・更新・失効の管理が必要。

短命トークン

短い有効期限を持つ通行証。更新用の資格情報が別に保存されることもあり、保存と失効の扱いを確認する。

招待（メンバーシップ）

組織へアカウントを招き権限を与えること。解除時は権限の反映と、既存セッションや発行済み資格情報も確認する。

自動処理のID連携（OIDC / WIF）

OIDCはIDを確認するための仕組み。WIF（Workload Identity Federation）は外部の処理IDを検証し、短期資格情報等で操作を許可する連携。長期キーを減らせるが、信頼条件と権限の管理は残る。