シークレットマネージャ
秘密情報の保管・配布・ローテーションを一手に担う中央サービス。設定ファイルへのパスワード直書きをやめさせる。オープンソースの定番はHashiCorp Vault、クラウドではAWS Secrets Manager、GCP Secret Manager、Azure Key Vaultがある。
単なるKV保管を超えた機能として、リクエストごとにDBの認証情報を生成して自動失効させる動的シークレット、TTLと自動更新によるシークレットのリース、アクセスごとの監査ログ、クライアントに鍵を渡さずに暗号化を提供するtransit暗号化、X.509証明書をオンデマンドで発行するPKIエンジンがある。連携としては、Kubernetes External Secrets OperatorがVaultやSecrets ManagerからK8sのSecretに同期する。Sealed Secrets(Bitnami)は非対称暗号でGitに置ける別のパターンで、ファイルベースのシークレットをGitで扱うならSOPSがある。