シークレットの有効期限を設定する

このトピックでは、Secret Manager でシークレットの有効期限を設定する方法について説明します。また、シークレットに設定されている有効期限を更新または削除する方法についても説明します。

概要

デフォルトでは、Secret Manager に保存されているシークレットは、ユーザーが削除するまで存在します。シークレットを既知の限られた時間だけ保存する必要がある場合は、シークレットに有効期限を設定できます。シークレットに構成された時間になると、シークレットは自動的に削除されます。

シークレットを削除しなければならない要件がない場合は、IAM Conditions またはバージョン状態の無効化を使用して、安全な方法でアクセスを取り消すことを検討してください。

有効期限は、タイムスタンプまたは期間のいずれかで入力できます。シークレット メタデータを取得すると、有効期限に関係なく、タイムスタンプが常にタイムスタンプとして返されます。

有効期限は、いつでもシークレットに対して追加、更新、削除できます。

制限事項

• シークレットの有効期限は、Secret Manager v1 API と gcloud コマンドライン ツールでのみ使用できます。

• シークレットの有効期限は 60 秒未満、100 年以上にはできません。

有効期限付きシークレットを安全に使用する

Secret Manager でシークレットが期限切れになると、削除され、元に戻すことはできません。期限切れが近いシークレットを検出する最善の方法は、期限切れになる前に IAM Conditions を使用して、そのシークレットを使用するアカウントから権限を削除することです。

これを行うには、シークレットの権限を付与するときに、時間ベースの条件をバインディングに関連付けます。シークレットが使用されなくなると予想された後、バインディングは期限切れになるはずですが、シークレットが期限切れになる前に削除されたアクセス許可が通知されるのに十分な早さです。権限が取り消された後にシークレット ブレークが使用されなくなったと判断されたワークフローは、権限を追加してすばやく緩和できます。さらに時間が必要な場合は、シークレットの有効期限を更新したり削除したりできます。

たとえば、サービス アカウントが 30 日間にわたって毎日シークレットにアクセスする見込みであると想定します。シークレットの有効期限を、作成から 60 日間に設定し、条件付き IAM バインディングを使用して、サービス アカウントに Secret Accessor のロールを 45 日間付与するとします。サービス アカウントが 45 日経過後にシークレットにアクセスしようとすると、権限拒否エラーが返され、そのシークレットを必要とするワークフローが中断します。シークレット自体はこの先 15 日間は削除されないため、調査中に素早く緩和するために、管理者は Secret Accessor のロールをサービス アカウントに再び付与します。

また、まもなく期限切れになるシークレットのログ警告に基づいてアラートを作成することもできます。詳細については、有効期限のロギングをご覧ください。

タイムスタンプと期間を指定する

• タイムスタンプ値は、RFC 3339 形式にする必要があります（例: 2100-01-01T09:00:00-05:00）。

• 期間の値は、「s」接尾辞を含む秒数の形式にする必要があります（例: 86400s）。

有効期限付きシークレットを作成する

タイムスタンプを使用して有効期限付きシークレットを作成します。

gcloud secrets create "SECRET_ID" \
    --replication-policy "automatic" \
    --expire-time "TIMESTAMP"

curl "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" \
    --request "POST" \
    --header "Content-Type: application/json" \
    --header "Authorization: Bearer ACCESS_TOKEN" \
    --data-binary @- <<EOF
{
  "replication": {"automatic": {}},
  "expire_time": "TIMESTAMP"
}
EOF

期間を使用して有効期限付きシークレットを作成します。

gcloud secrets create "SECRET_ID" \
    --replication-policy "automatic" \
    --ttl "DURATION"

curl "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" \
    --request "POST" \
    --header "Content-Type: application/json" \
    --header "Authorization: Bearer ACCESS_TOKEN" \
    --data-binary @- <<EOF
{
  "replication": {"automatic": {}},
  "ttl": "DURATION"
}
EOF

シークレットの有効期限を更新する

有効期限がすでに設定されているかどうかにかかわらず、どのシークレットに対しても、新しい有効期限を適用できます。各シークレットに構成できる有効期限は一度に 1 つのみです。すでに有効期限が設定されているシークレットの有効期限を更新すると、既存の有効期限は上書きされます。

タイムスタンプを使用してシークレットの有効期限を更新します。

gcloud secrets update "SECRET_ID" \
    --expire-time "TIMESTAMP"

curl "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=expire_time" \
    --request "PATCH" \
    --header "Content-Type: application/json" \
    --header "Authorization: Bearer ACCESS_TOKEN" \
    --data-binary @- <<EOF
{
  "expire_time": "TIMESTAMP"
}
EOF

期間を使用してシークレットの有効期限を更新します。

gcloud secrets update "SECRET_ID" \
    --ttl "DURATION"

curl "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=ttl" \
    --request "PATCH" \
    --header "Content-Type: application/json" \
    --header "Authorization: Bearer ACCESS_TOKEN" \
    --data-binary @- <<EOF
{
  "ttl": "DURATION"
}
EOF

シークレットの有効期限を削除する

gcloud secrets update "SECRET_ID" \
    --remove-expiration

curl "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=ttl" \
    --request "PATCH" \
    --header "Content-Type: application/json" \
    --header "Authorization: Bearer ACCESS_TOKEN" \
    --data-binary '{}'

有効期限のロギング

シークレットが自動的に期限切れになると、Cloud Audit Logs は生成されません。代わりに、Secret Manager は、シークレットの有効期限までの特定の間隔で、Secret Manager Secret リソースにログを書き込みます。

これらのログを表示する方法については、Logging クイックスタート ガイドをご覧ください。ログベースの指標を作成し、それらを使用して以降の有効期限のアラートを作成できます。

次のステップ

• シークレットのローテーション スケジュールを設定する方法を学ぶ。
• Secret Manager で顧客管理の暗号鍵（CMEK）を有効にする方法を学習する。