こんにちは。インフラの深淵を覗き込み、日夜コードでサーバーを制御しているSREの先輩です。
今回は、多くのエンジニアが一度は躓く「シークレット情報の管理」という聖域に踏み込みます。Ansibleを使っていると必ずぶつかる壁、「パスワードやAPIキーをどこに置くか問題」。
結論から言います。Ansible Vaultだけで管理するのは、もう卒業しましょう。 本気でGitOpsを運用するなら、Mozilla SOPSこそが唯一無二の解です。
なぜSOPSなのか？ それを紐解きながら、明日から現場で使える最強のセキュリティ構成を伝授します。
—
1. なぜAnsible Vaultではなく「SOPS」なのか？
Ansible Vaultは便利ですが、決定的な欠陥があります。
- 差分が見えない: 暗号化されたバイナリデータになるため、Git上で誰が何をどう変えたか追跡できません。
- 運用が重い: チームで鍵を共有する際、結局「平文のパスワードファイル」を別の安全な場所でやり取りするという本末転倒な事態になりがちです。
Mozilla SOPSは違います。
- 部分暗号化: YAMLやJSONの「値だけ」を暗号化できます。キー（項目名）は平文で残るため、GitのDiffで「どの設定が変更されたか」が一目瞭然です。
- KMS連携: AWS KMS、GCP KMS、Azure Key Vaultと連携可能。つまり、「誰が鍵にアクセスできるか」という権限管理をクラウドのIAMに丸投げできるのです。これこそがGitOpsの極意です。
—
2. 基礎セットアップ：まずは環境を整える
まずは手元のPCでSOPSを使えるようにしましょう。
インストール
macOSならHomebrewで一撃です。
brew install sops
鍵の作成（AWS KMSを使う場合）
KMSキーを一つ作成し、そのキーID（ARN）を控えてください。これが「封印の鍵」になります。
—
3. HelloWorld：シークレットを暗号化してみよう
まずは、機密情報を含むYAMLファイルを作成します。
`secrets.yaml`
暗号化したい機密情報
db_password: “super-secret-password”
api_key: “aiueo12345”
これをSOPSで暗号化します。
sops –encrypt –kms “arn:aws:kms:region:account:key/your-key-id” secrets.yaml > secrets.enc.yaml
中身を見てみてください。キーはそのまま、値だけが暗号化されているはずです。これがGitリポジトリにコミットしても安全なファイルです。
—
4. Ansibleとの統合：Lookupプラグインで動的復号
Ansibleでこの値をどう読み取るか？ ここが一番の山場ですが、実は驚くほど簡単です。`ansible-community.sops` コレクションを使います。
コレクションのインストール
ansible-galaxy collection install community.sops
Playbookでの実装例
`sops.sops` ルックアッププラグインを使うと、実行時にメモリ上で復号して値を注入できます。
- name: セキュアな設定の適用
hosts: all
vars:
# ファイル全体を読み込み、メモリ上で復号して展開する
secrets: “{{ lookup(‘community.sops.sops’, ‘secrets.enc.yaml’) }}”
tasks:
- name: パスワードを表示（デバッグ用・本番では絶対禁止！）
debug:
msg: “パスワードは {{ secrets.db_password }} です”
ここが重要： 復号されたデータはAnsibleの実行メモリ上にしか存在しません。ディスクに平文が書き出されることはなく、非常にセキュアです。
—
5. CI/CD環境での自動化フロー
GitHub ActionsなどのCI/CDで動かす場合、実行環境（Runner）にIAM権限を付与するだけで完了です。
1. IAM設定: OIDCやIAMロールでRunnerにKMSへの`kms:Decrypt`権限を付与する。
2. 実行: `ansible-playbook` を実行する際、Runnerが自動的にKMSへ問い合わせを行い、復号を実行します。
「鍵ファイルをサーバーにコピーする」といった原始的な操作は一切不要。環境が変わっても、IAMのポリシーを管理するだけで運用が完結します。
—
チーム開発における極意：鍵管理のベストプラクティス
最後に、現場で震えるほど重要になる「鍵の運用ルール」を授けます。
1. 暗号化は「値」だけに留める: 全体を暗号化せず、必要なキーだけ暗号化することで、Gitの可読性を最大化してください。
2. KMS権限の分離: 開発者には「暗号化用」、CI/CDには「復号用」というように、IAMポリシーで権限を切り分けるのが理想です。
3. `.sops.yaml` ファイルの活用: プロジェクトルートに設定ファイルを置くことで、どのファイルがどの鍵で暗号化されるかを自動判別できます。
.sops.yaml の例
creation_rules:
- path_regex: secrets/.\.enc\.yaml$
kms: “arn:aws:kms:region:account:key/your-key-id”
—
最後に
「インフラをコード化する」とは、単にスクリプトを書くことではありません。「誰がどの情報にアクセスできるか」を完全にコントロール下に置くことです。
SOPSを導入すれば、セキュリティという名の重荷から解放され、より本質的なコード設計に集中できるようになります。
さあ、今すぐ `secrets.yaml` を暗号化して、Gitの履歴をクリーンに保つ旅に出かけましょう。何か詰まったら、いつでも聞きに来てください。応援しています。