HashiCorp、「Vault 1.15」を一般提供–UIアップデートやPKI関連の強化を搭載

今回は「HashiCorp、「Vault 1.15」を一般提供–UIアップデートやPKI関連の強化を搭載」についてご紹介します。

関連ワード （ソフトウェア等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　HashiCorpは米国時間9月28日、「HashiCorp Vault 1.15」の一般提供を開始した。

　Vault 1.15は、Vaultのコアとなるシークレットワークフローに加え、チームワークフロー、統合、可視性に重点を置いているという。

　主な追加機能の一つである、「Certificate Issuance External Policy Service（CIEPS）」は、Vaultの外部にある顧客定義のサービスでカスタムポリシーを使用して発行された証明書を詳細に制御できるようにする。

　Public Key Infrastructure（PKI）のX.509証明書には、膨大な数のフィールドと拡張子が存在するが、「Vault PKI Secrets Engine」は、これらのうち最も一般的に使用されるサブセットをサポートし、大半のユースケースに対応しているとHashiCorpは述べる。しかし、顧客からは、証明書にカスタムデータを追加したいという要望が寄せられていたという。

　CIEPSを使用することで、Vault PKI Secrets Engineから呼び出されるカスタムサービスを実装し、もともとの証明書リクエストの内容を評価し、上書きできる。同機能により、「Vault PKI」が発行した証明書が企業のコンプライアンス基準に適合していることを確認できる。

　ユーザーインターフェース（UI）もVault 1.15では強化された。Vaultインスタンスに関する重要な情報をより包括的かつ統一的に表示するランディングページのダッシュボードが導入され、クライアントの数や構成の詳細などの重要な情報を素早く確認したり、迅速なアクションを実行したりすることを可能にする。LDAP向けUIの強化により、LDAPシークレットエンジンの有効化、既存の「OpenLDAP」「Active Directory（AD）」「Resource Access Control Facility（RACF）」システムへの接続、ロールとライブラリーの管理がVaultのUIから可能となった。

　「Azure Workload Identity Federation（WIF）」SDKサポートは、「Microsoft Azure Kubernetes Service（AKS）」を使用する一方で、新しい「Workload Identity」認証方式も使用したい顧客向けの機能だという。

　「Vault Secrets Operator（VSO）」が機能強化され、Vault 1.15では、「HCP Vault Secrets」からKubernetesに対するシークレットの同期のサポートなどが含まれる。

　ベータ版として提供されたシールの高可用性機能により、Vault Enterpriseユーザーは、複数のKMSプロバイダーに保持された独立したシールを使用できるようになる。これまでは、単一のKMSプロバイダーを使用し、「AWS Key Management Service（AWS KMS）」やハードウェアセキュリティモジュール（HSM）といったVaultシールキーを保存していた。何らかの理由でKMSプロバイダーからシールキーが利用できなくなった場合、Vaultはシールを解除できないため、本番稼動が停止する可能性があった。

　「HCP Vault Secrets」で提供されたシークレット同期もVault Enterpriseでベータ版が利用できるようになった。同機能は、KV v2シークレットと「AWS Secrets Manager」「Azure Key Vault」「Google Cloud Secret Manager」、「GitHub Action Secrets」「Vercel Project Environment Variables」という5種類の外部同期先との一方向の同期をサポートする。

　イベントモニタリングは、Vault 1.13アルファーリリースをベースに、完全なポリシーのサポート、名前空間、APIを追加したものだという。Vaultにシークレット管理を依存しているアプリケーションや外部統合は、Vault内のシークレットが更新されたときにアラートを受け取る必要がある。しかし、Vault内のシークレットの変更を下流のアプリケーションに通知する仕組みはこれまでVaultにはなかったという。