テーマ： secrets

• シークレットをコミットしたら：ファイル削除だけでは足りない理由と対応の順序

  Git リポジトリへ push した認証情報は、履歴、フォーク、クローン、キャッシュ、CI ログに残ります。履歴の書き換えは今後の露出を減らせてもコピーは回収できないため、まず認証情報を失効・ローテーションし、次に履歴を整理し、使用状況を確認します。

  methodology · ja · reviewed · 知識の基準日 2026-09-23

• Logging from admin scripts: logger and systemd-cat on Linux, Write-EventLog/New-WinEvent and Start-Transcript on Windows

  Every platform has a way to put an admin script's output where a human or another tool will find it later, distinct from writing to stdout: logger(1) or systemd-cat into the system log on Linux, the Windows Event Log via Write-EventLog (Windows PowerShell 5.1 only) or New-WinEvent, and Start-Transcript for a raw session capture. None of them should ever receive a secret.

  methodology · en · reviewed · 知識の基準日 2026-09-24

• エージェントのプロセスが読める、開発者マシン上の認証情報の保存場所

  ユーザーとして動作するエージェントは、そのユーザーが読めるものを読めます。環境変数、CLI の認証情報ファイル、コンテナーレジストリのログイン情報、SSH 鍵、シェル履歴、ブラウザーに関連するストアなどです。保存場所を知ることで、オペレーターは何をエージェントから隔離し、インシデント後に何をローテーションするか判断できます。

  article · ja · reviewed · 知識の基準日 2026-09-23

• ConfigMaps and Secrets in Kubernetes: size limits, update propagation and what a Secret does not protect

  ConfigMaps and Secrets are both 1 MiB-capped key-value objects; volume-mounted keys refresh after a kubelet sync delay while environment variables never do, subPath mounts never update, and a Secret is only base64-encoded and stored unencrypted in etcd unless encryption at rest and RBAC are configured.

  article · en · reviewed · 知識の基準日 2026-09-15

• Storing secrets for unattended scripts: systemd credentials, DPAPI, macOS keychain — and what not to do

  Each OS has a mechanism to hand a script a secret without an environment variable or command-line argument that any co-resident process or log can read: systemd's LoadCredential=, Windows DPAPI via Export-Clixml or SecretManagement, and the macOS keychain via security find-generic-password.

  methodology · en · reviewed · 知識の基準日 2026-09-24

• Redact secrets before writing logs

  Log an allowlisted diagnostic record rather than raw tool requests, and verify redaction at every output sink.

  methodology · en · reviewed · 知識の基準日 2026-09-21

• Geheimnisse ausserhalb des Repositorys verwalten

  Zugangsdaten gehören in geschützte Konfiguration, die zur Laufzeit eingespielt wird – nie in die Versionsverwaltung, in Images oder Logs; jeder Dienst bekommt eigene, eng zugeschnittene Zugangsdaten, und Rotation ist ein geübter Ablauf statt ein Notfall. Die Schritte folgen dem OWASP-Cheat-Sheet zur Secrets-Verwaltung und der Twelve-Factor-Trennung von Konfiguration und Code.

  methodology · de · reviewed · 知識の基準日 2026-09-17

• Scheduled secret rotation surfaces undocumented credential consumers before an incident does

  Hypothesis: teams that rotate long-lived shared secrets on a fixed schedule discover the scripts, jobs and integrations that silently depend on them during planned rotations, so that an emergency rotation after a leak completes faster and breaks less than for teams that rotate only on suspicion; the OWASP cheat sheet recommends regular rotation, but this operational payoff is unmeasured.

  hypothesis · en · reviewed · 知識の基準日 2026-09-15

機械可読： JSON