ラックとHashiCorp Japan、 認証・認可情報管理ソリューションで協業を開始

株式会社ラック(本社：東京都千代田区、代表取締役社長：西本 逸郎、以下 ラック)とHashiCorp Japan株式会社(本社：東京都港区、代表取締役社長：David McJannet、以下 HashiCorp)は、デジタルトランスフォーメーションを加速する企業に対し、認証・認可情報(以下 シークレット情報※1)管理ソリューションの普及を目指した協業を2019年8月7日より開始します。
システム開発者や運用担当者は、「Vault(ヴォルト)」を活用することで、統一のセキュリティポリシーのもと複数のクラウド環境下で自動的にIDやパスワードなどの認証情報を適切に管理・保護することが可能となり、セキュリティ確保のための管理負担を大きく抑制することができます。

クラウドの活用が当たり前となるだけでなく、使いたいクラウドサービスを複数組み合わせて活用するマルチクラウド化が進んでいます。オンプレミス環境やパブリッククラウド上でサーバ運用を行う場合、一般的にはネットワークやサーバに対する「IPベース」でのセキュリティ対策が実施されていますが、マルチクラウド環境など複雑なクラウド連携を行う場合に重視すべきなのが、「IDベース」のセキュリティ対策です。

ただしIDベースの管理を行っていても、例えば、パブリッククラウドへの認証情報を含んだソースコードを誤って公開してしまい、そこから流出した認証情報でクラウドが不正使用されることによる高額な利用料の請求や顧客情報の漏えいなどが発生しています。このような被害が発生する理由は、個々のシステム開発者や運用担当者によるシークレット情報のずさんな管理にあります。複数のクラウド環境に分散したシークレット情報を暗号化やアクセス権限など統合管理もせず、しかも、誰がアクセスしたかの監査も行うことができない状態で運用されているケースが散見されます。

HashiCorpは、マルチクラウド環境における「IDベース」のセキュリティ対策として、シークレット情報を自動的に保護・管理できる「Vault(ヴォルト)」を開発し提供しています。類似製品と異なる大きな特徴は、ユーザに代わって、一時的にシステムにアクセスできるID、パスワードを自動生成し、またIDに対して有効期限を設定し自動廃止や使用期限の延長および手動廃止をする「動的管理」が可能※2であることです。

ラックは、HashiCorpのDevOpsへの積極的な技術支援に共感し、またセキュアなシステム開発と運用を実現するDevSecOpsの普及を目指すためにパートナーシップを締結しました。
両社はVaultを本協業の最初の製品として位置づけ、2019年8月7日より日本国内での普及に向けて取り扱いを開始します。

マルチクラウド環境でシステム構築を行い運用するには、シークレット管理を厳密に行いつつも、ユーザビリティを高める必要があります。統一したセキュリティポリシーに基づき自動化された管理手段を導入することで安全性と利便性を高め、外部のみならず、内部の管理者や開発者の万一の不正な行動を防ぎます。

Vaultは主に以下の5機能により、シークレット情報を安全に保護・管理し、お客様の課題を解決します。

動的管理
一時的にシステムにアクセスできるID、パスワードをVaultが自動生成し、IDに対して有効期限を設定し自動廃止や使用期限の延長および手動廃止をすることが可能です。マルチクラウド環境での複数システムの認証情報を、ユーザに代わって、Vaultが安全に一元管理を行います。この動的管理機能は他のシークレット情報管理サービスでは実装されておらず、HashiCorp Vault独自機能となります※2。

Vaultが機密情報をユーザ(ID管理者)に代わり一元管理して生成(イメージ)

機密情報の一元管理
Vaultでは、文字情報からパブリッククラウドのアクセスキーまで様々なシークレット情報を一元管理することができます。万が一漏えいがあった場合でも、管理者によるシークレット情報の変更、廃止など早急な対応が可能となります。

暗号化
Vaultでは様々な暗号化アルゴリズムを利用しシークレット情報を暗号化することができます。 なお、Vault Enterprise0.9以降では、ハードウェアセキュリティモジュール(HSM)との連携により連邦情報処理規格FIPS 140-2※3に準拠している旨、認定を受けています。

アクセスコントロール
ACL(アクセスコントロールリスト)を定義しシークレット情報およびシステムへのアクセス権を制御します。これにより運用担当者と開発者で参照可能なシークレット情報を分ける等の管理が可能となります。

監査
いつ・誰が・どのシークレット情報へアクセスしたか記録します。

ラックは、マルチクラウド環境におけるシークレット情報の管理ソリューションにより、デジタルトランスフォーメーションを進める企業に対して、安全なシステム開発およびシステム運用の実現を支援してまいります。

※1 ITサービスを利用するために必要な情報であり、外部に漏れてしまうと多大な損害を被る可能性の高い情報の総称。「クレデンシャル情報」とも言い、ユーザ認証情報、APIトークン、シークレットキーなどがあります。具体的には、データベースへのアクセスに必要な認証情報、Microsoft Office 365やG Suite、SalesforceといったSaaSを利用するためのユーザID＋パスワード、APIを利用するためのAPIトークン、パブリッククラウド(AWS/Azure/GCPなど)を利用するためのアクセスキー、シークレットアクセスキー、サービスアカウント情報などです。

※2 2019年5月時点。HashiCorp調べ。

※3 FIPS 140-2(Federal Information Processing Standardization 140-2)は2001年5月に発行された、米国連邦政府の省庁等各機関が利用するハードウェア及びソフトウェアの暗号モジュール要件に関する規定です。米国連邦政府機関が暗号モジュールを調達する際にはFIPS 140-2、もしくはその前身であるFIPS 140-1適合認定を取得しているものである必要があります。

HashiCorp Vault(ヴォルト)
https://www.lac.co.jp/service/product/vault.html

【株式会社ラックについて】( https://www.lac.co.jp/ )
ラックは、1986年にシステム開発事業で創業、多くの実績を誇る「金融系の基盤システム開発」をはじめ、社会の基盤システムの開発を行っています。1995年にはいち早く情報セキュリティ事業を開始し、現在ではサイバーセキュリティ分野のリーディングカンパニーとして、官公庁・企業・団体等のお客様に業界屈指のセキュリティ技術を駆使した、先端のITトータルソリューションサービスを提供しています。

【HashiCorp Japan株式会社について】( https://www.hashicorp.com/ )
HashiCorp Japanは、米国サンフランシスコを拠点とし、クラウドインフラストラクチャの自動化を支援するための様々なソフトウェアを提供するHashiCorp, Inc.の日本法人です。これらのソフトウェアを使うことで、あらゆるアプリケーション及びインフラストラクチャのプロビジョニング、セキュリティ確保、連携、および実行に一貫したワークフローを採用できます。HashiCorpが提供するオープンソースソフトウェア(OSS)であるVagrant, Packer, Terraform, Vault, Consul, Nomadは多くのユーザにダウンロードされ、フォーブス・グローバル2000(世界の有力企業2000社)にて幅広く採用されています。これらの製品のエンタープライズ版はガバナンス＆セキュリティ、パフォーマンス強化およびマルチデータセンター機能を提供します。同社は、メイフィールド社、GGVキャピタル社、レッドポイント社、トゥルーベンチャーズ社の後援を受けています。

＊ ラック、LAC、は、株式会社ラックの国内およびその他の国における登録商標または商標です。
＊ その他、記載している会社名・団体名、製品名などは、各社の登録商標または商標です。

この件に関するお問い合わせ
●掲載記事のお問合せ先には、こちらをご紹介ください。
株式会社ラック
E-mail： sales@lac.co.jp