ストーリー

ミッション概要

前提条件

現在のシークレット管理状況

現在のシークレット管理状態（PayConnect）:

1. GitHub Actions シークレット（CI/CD用）
   - AWS_ACCESS_KEY_ID（長期キー、3年間未ローテーション）
   - AWS_SECRET_ACCESS_KEY
   - DOCKER_REGISTRY_TOKEN

2. ECS タスク定義の環境変数（本番環境）
   - DATABASE_URL=postgres://app:P@ssw0rd123@prod-db:5432/payconnect
   - STRIPE_SECRET_KEY=sk_live_xxxx
   - JWT_SIGNING_KEY=my-super-secret-key
   - REDIS_PASSWORD=redis123

3. 設定ファイル（ソースコード内）
   - config/production.ts に一部の設定値がハードコード
   - .env.example にデフォルト値として本番に近い値が記載

4. 手動管理されているシークレット
   - 本番DBのrootパスワード: Confluenceページに記載
   - Stripeのダッシュボードパスワード: チームリーダーのみ知る
   - SSH鍵: 各エンジニアが個人管理

問題点:
  - ローテーションが一度も行われていないシークレットがある
  - 誰がどのシークレットにアクセスしたかの監査ログがない
  - 退職者のアクセス権が残っている可能性がある
  - PCI-DSS 3.6.4（暗号鍵のローテーション）に非準拠

Mission 1: シークレットの棚卸しと分類

要件

PayConnectシステムで管理が必要なすべてのシークレットを棚卸しし、分類してください。

1. 全シークレットの一覧を作成する（最低15件）
2. 各シークレットの機密度レベル（Critical/High/Medium/Low）を判定する
3. 各シークレットの推奨保管場所とローテーション頻度を決定する

Mission 2: Vaultアーキテクチャの設計

要件

PayConnectシステム向けのVaultアーキテクチャを設計してください。

1. Vault のデプロイ構成（HA構成、バックエンド選定）を設計する
2. Secret Engineの構成（パス設計含む）を定義する
3. ポリシー設計（各サービス/チームのアクセス権限）を定義する
4. 認証方法の選定と設定を定義する

Vault HA 構成:

[Route 53] ──→ [NLB]
                  │
         ┌───────┼───────┐
         │       │       │
     [Vault 1] [Vault 2] [Vault 3]
     (Active)  (Standby) (Standby)
         │       │       │
         └───────┼───────┘
                 │
         [Raft Storage]（内蔵）

デプロイ先: ECS Fargate（専用VPC）
ストレージ: Raft（内蔵統合型）
Auto Unseal: AWS KMS
監査ログ: CloudWatch Logs
バックアップ: S3（暗号化、日次）

Mission 3: 移行計画の策定

要件

現在の環境変数ベースのシークレット管理からVaultベースへの移行計画を策定してください。

1. 3フェーズの移行計画を策定する（各フェーズ2-4週間）
2. 各フェーズのリスクと対策を明記する
3. ロールバック手順を定義する

Week 1: インフラ構築
├── Vault HA クラスター構築（Terraform）
├── Auto Unseal 設定（AWS KMS）
├── 監査ログ設定（CloudWatch Logs）
├── バックアップ設定（S3）
└── 基本ポリシー作成

Week 2: 非Criticalシークレット移行
├── メール送信APIキー（S-012）をVault KVに移行
├── Slack Webhook URL（S-013）をVault KVに移行
├── アプリケーション側の読み取りをVault SDKに変更
├── 動作確認（ステージング→本番）
└── 旧環境変数の削除

ロールバック手順（各フェーズ共通）:

1. 問題検出
   └── Vault からのシークレット取得エラーが閾値超過

2. 判断
   └── エンジニア2名以上で合意

3. 実行
   ├── ECS タスク定義を旧バージョンに更新
   │   （Vault SDK → 環境変数の読み取りに戻す）
   ├── 旧環境変数（バックアップ保持済み）を復元
   └── サービス再起動

4. 検証
   └── 全エンドポイントのヘルスチェック確認

推定ロールバック時間: 15分以内

達成度チェック

推定所要時間: 90分