セキュリティベンダーのラックは2019年8月7日、情報システムにログインするためのシークレット情報（ID/パスワードなど）を安全に一元管理するサーバーソフトウェア「Vault」（米HashiCorp製）の販売を開始した。ラックは国内で6社目の販売代理店となるが、ユーザー企業のシステムを構築するSIベンダーとしてはラックが国内で初めてHashiCorp製品を販売する。
写真1：HashiCorp JapanでJapan RegionのSales Directorを務める奥るみ氏拡大画像表示
米HashiCorp（日本法人はHashiCorp Japan）のVaultは、情報システムにアクセスする際に必要となるシークレット情報（ID/パスワードなど）をネットワーク上で一元的に管理するサーバーソフトである。
シークレット情報をキーバリュー型で暗号化して保存・管理する。クライアントアプリケーションがサーバーアプリケーションにアクセスする際に、ID/パスワードなどを自前で記録・記憶していなくても、Vaultに問い合わせることでID/パスワードなどを得られる。
ID/パスワードなどのシークレット情報を管理する機能、すなわち、シークレット情報を発行、配付、更新、無効化する機能を提供する。複数の情報システムにおいて、「ID/パスワードを使えるのは誰なのか」「ID/パスワードを誰が使っているのか」「ID/パスワードをどのくらいの周期で更新しているのか」などを一元的に管理。また、アプリケーションが利用するデータを暗号化/復号する機能も提供する。
Vaultを導入することによって、ID/パスワードなどの管理機能を情報システムから外部に分離できる（図1）。これにより、管理台帳の盗難やマルウェアの活動などによってID/パスワードが外部に漏洩してしまう事故を防止できる。また、アプリケーションのソースコードや設定ファイルにID/パスワードを埋め込んで運用しているためにID/パスワードが流出してしまう事故を防止する。
図1：Vaultの概要。機密情報をユーザー（ID管理者）に代わって一元管理する（出典：ラック）拡大画像表示
期限付きのID/パスワードも発行できる。有効期限が切れたID/パスワードでサーバーにログインしようとしても失敗するようにできる。有効期限が切れていれば、ID/パスワードが書かれたログデータが漏洩してもサーバーにはログインできない。Vaultは、自身が管理しているID/パスワードの有効期限が切れた場合、該当するサーバーにアクセスしてID/パスワード情報を書き換える。
サーバーにアクセスして認証を受けるクライアントアプリケーションは、REST APIを介してVaultに問い合わせる。Vaultから、サーバーにアクセス可能なID/パスワード情報を取得し、サーバーにアクセスする。有効期限が切れている場合は、新たなID/パスワード情報をVaultから取得する形になる。また、REST API以外の手段として、GUI画面を使って対話型にVaultを操作することもできる。
HashiCorp JapanでJapan Region Sales Directorを務める奥るみ氏（写真1）は、Vaultの導入によって解決できる、よくあるインシデントを3つ指摘する。1つは、GitHubで公開するなど、誤って、または第三者の故意でインターネットにシークレット情報が漏洩すること。1つは、証明書の有効期限切れ。現実問題として、数年～10年間などの、推奨値からかけ離れた期間で運用するケースもある。1つは、協力会社の複数のエンジニア向けに単一のシークレット情報を使いまわすなどにより、漏洩時にトラッキングできないことである。
ラックによる販売価格（税別）は、例として50クライアントでリクエスト数が月間15万件の場合、年額1000万～1300万円程度である。ラックによる販売目標は、2020年3月までに3社。まずはライセンスの販売から始めて、2019年10からはVaultの導入コンサルティングサービスとシステム構築サービスを開始する。ラックは国内で6社目の販売代理店となるが、ユーザー企業のシステムを構築するSIベンダーとしてはラックが国内で初めてHashiCorp製品を販売する（写真2）。
写真2：左から、ラックでSIS事業統括部ソリューション開発部に所属する鈴木真人氏、ラックで常務執行役員最高技術責任者を務める倉持浩明氏、米HashiCorpでAPJチャネルディレクタを務めるBrendon Thwaites（ブレンドン・トワイツ）氏、HashiCorp JapanでJapan RegionのSales Directorを務める奥るみ氏拡大画像表示
