HashiCorp Vault Enterpriseで全社横断のシークレット管理を標準化

IIJは職人気質なエンジニアの技術力に支えられ、高度なサービスや高い稼働率を実現しています。一方、サービスや技術スタックが多岐にわたるがゆえに、シークレット管理は個別最適化が進み、管理手法が断片化しやすい状況でした。これは各現場で生産性を妨げ、リスクをともなうものです。IIJ ネットワークサービス事業本部 ネットワーク本部 SRE推進部 シニアエンジニア 鈴木高彦氏は「内部統制やセキュリティガバナンスの観点からも、決して望ましい状態ではありませんでした」と話します。

そこでSRE推進部では、部門やプロジェクトを問わず統一的に利用できるシークレット管理システムの導入を検討しました。現場のエンジニアから強く求められていたのは、オンプレミス環境で運用できること。鈴木氏は「シークレットは機密情報の最たるものです。それをクラウドに置くことに強い抵抗感がありました」と語ります。加えてDR（災害復旧）構成がとれること、社員の異動や退職にスムーズに対応できるようにMicrosoft Entra ID（旧Azure AD）と連携できること、さらにTerraformやAnsible、GitHubなど既存のツールと容易に連携できることを要件としたとき、これらをすべて満たせるものはHashiCorp Vault Enterprise（以下、Vault Enterprise）だけでした。

今回、IIJが導入したVault Enterprise では、地理的に分散した 2 つのデータセンター間でレプリケーションを行うDRレプリケーション構成を採用しています。各サイトには3台構成のVaultクラスターを配置し、障害発生時にも継続して利用できる冗長性を確保しました。また、全社的な基盤として運用するため、ユーザーが複数の部署やテナント（Namespace）にまたがって所属できるよう、Root Namespaceに従業員のEntityとEntra IDを連携する外部グループを配置しています。テナント側には、Root Namespaceのグループをメンバーとする内部グループを設けることで、部署横断のアクセス管理を実現しています。

Vault Enterprise の導入により、IIJ 社内のシークレット管理は統一的な基盤へと大きく成長しました。今後SRE推進部では、この基盤をより多くのサービスや開発チームが安全かつ効率的に利用できる環境づくりを進めていく考えです。

その取り組みとして、IIJ ネットワークサービス事業本部 ネットワーク本部 SRE推進部長 田口景介氏はさらなる「運用の高度化」を見据えています。現在はキーバリューストア（KVS）としての利用が主ですが、今後は動的なシークレット発行、GitHub ActionsをはじめとしたCI/CD基盤との統合強化、アプリケーションに暗号化機能を提供するTransit Secrets Engineの活用など、Vaultのポテンシャルをさらに引き出していく方針です。特に、手作業が多くミスが許されない証明書管理において、PKIエンジンとVault Agentを組み合わせた自動ローテーションを推進することで、運用負荷の劇的な低減を目指しています。

「IIJは本質的に“運用の会社”です」と田口氏は強調します。地味ながらも過酷になりがちな運用業務を、Vaultを起点とした徹底的な自動化によっていかに“楽”にするか。その飽くなき追求が、同社のインフラ品質を支え、エンジニアがより創造的な仕事に集中できる運用環境に近づけます。