シークレット管理のOSS比較【2026年版】HashiCorp VaultとInfisicalでAPIキーを安全に管理

.envファイルにAPIキーを平文で書いて.gitignoreに頼っていませんか？チームが増えると誰が何のキーを持っているか管理できなくなります。OSSのシークレット管理ツールで一元管理・監査証跡・ローテーションを実現しましょう。

.env管理の問題点

• Gitに誤コミット — 全世界に公開されるリスク
• チーム共有が難しい — Slackで平文パスワードを送り合う
• ローテーション困難 — 全員のローカル環境を一斉更新できない
• 監査証跡がない — 誰がいつ何のキーを使ったか不明

OSS シークレット管理ツール比較表

ツール	動的シークレット	監査ログ	Kubernetes統合	特徴
HashiCorp Vault	✅	✅	✅	最多機能・エンタープライズ標準
Infisical	❌	✅	✅	モダンUI・開発者向け
Bitwarden Secrets	❌	✅	✅	BitwardenのシークレットMgr
Doppler（OSS版なし）	❌	✅	✅	SaaS専業（参考比較）

HashiCorp Vault：エンタープライズ標準のOSSシークレット管理

HashiCorp Vault（公式サイト↗・GitHub↗）はGo製のOSSシークレット管理プラットフォームです。静的シークレット管理だけでなく、PostgreSQL・AWSのIAMクレデンシャルを一時的に発行する「動的シークレット」が特徴です。Kubernetes・Terraform・Ansible・CIツールとの統合が充実しています。

# Docker でVaultを起動（開発モード）
docker run --cap-add=IPC_LOCK \
  -e 'VAULT_DEV_ROOT_TOKEN_ID=myroot' \
  -p 8200:8200 \
  vault

# シークレットを保存
export VAULT_ADDR='http://127.0.0.1:8200'
vault kv put secret/myapp db_password=s3cr3t api_key=abc123

# シークレットを取得
vault kv get secret/myapp

詳しくはHashiCorp Vault公式ドキュメント↗およびInfisical公式サイト↗を参照。

セキュリティ関連OSSはセキュリティカテゴリから。VPN・パスワード管理との組み合わせはセキュリティカテゴリも参照。

Infisical：開発者向けのモダンOSSシークレット管理

Infisical（公式サイト↗・GitHub↗）はDoppler代替を目指す開発者向けのOSSです。ブラウザのモダンUIから環境変数を管理し、CLIで.envファイルへの自動インジェクション・Kubernetes SecretStore・GitHub Actions統合が使えます。セルフホスト版はDocker Composeで簡単に立ち上げられます。

選び方

ユースケース	推奨
エンタープライズ・動的シークレット	HashiCorp Vault
開発者向け・DopplerライクなUI	Infisical
Bitwarden利用中	Bitwarden Secrets

まとめ

2026年のOSSシークレット管理：大規模インフラ・動的シークレットにはHashiCorp Vault、開発者が使いやすいDoppler代替にはInfisicalが最有力です。

よくある質問（FAQ）

Q. GitHub ActionsでVaultのシークレットを使えますか？

はい。hashicorp/vault-actionのGitHub Actionを使えば、ワークフロー実行時にVaultから動的にシークレットを取得してActionsの環境変数に注入できます。

Q. HashiCorp VaultのBSL（新ライセンス）に懸念があります。OSSの代替はありますか？

HashiCorp VaultはMPL→BSLへのライセンス変更で物議がありました。コミュニティフォークのOpenBao（Linux Foundation管理）が真のOSS代替として開発されています。

Q. Infisicalは日本語対応していますか？

現時点ではUIは英語のみです。ただしシークレットキー・値は日本語文字列でも保存可能です。ドキュメントも英語が中心ですが、コマンドは直感的に使えます。