GitOps Security

この用語をシェア

概要

GitOps Security（ギットオプス セキュリティ）とは、GitOpsワークフローにおいて実装すべきセキュリティ対策のことです。Gitを真実の唯一のソースとして利用するDevOpsアプローチにおいて、コード、インフラストラクチャ、設定ファイルのセキュリティを包括的に保護します。

GitOpsとは

GitOpsは、Gitリポジトリを宣言的インフラストラクチャとアプリケーションの唯一の真実の源として使用するオペレーショナルフレームワークです。すべての変更はGitを通じて行われ、自動化されたプロセスによってデプロイされます。

2017年にWeaveworks社が提唱した概念で、「あるべきインフラ・アプリケーションの状態」をYAMLマニフェストとしてGitに記述し、Argo CDやFluxといったコントローラーがその状態とクラスタの実際の状態を継続的に比較・同期する「プル型」のデプロイモデルが特徴です。管理者が本番環境に直接コマンドを実行するのではなく、Gitへのプルリクエストとマージだけでインフラの変更が完結するため、変更プロセス自体がセキュリティ対策の土台になります。

主要なセキュリティ領域

ソースコードセキュリティ

• 静的コード解析（SAST） - 脆弱性とセキュリティホールの検出。コミットやPull Requestのタイミングで自動実行し、本番反映前に問題を発見します。
• シークレット検出 - APIキーやパスワードのハードコーディング防止。git-secretsやTruffleHogのようなツールでコミット前・リポジトリ全体をスキャンします。
• 依存関係スキャン - サードパーティライブラリの脆弱性チェック。既知の脆弱性（CVE）を含むパッケージの利用を検知し、更新を促します。
• ライセンスコンプライアンス - オープンソースライセンスの適合性確認。商用利用が制限されるライセンスの混入を防ぎます。

Infrastructure as Code (IaC) セキュリティ

• 設定ミス検出 - クラウドリソースの不適切な設定の検出。公開設定になったストレージやセキュリティグループの過剰な開放をマニフェスト段階で検出します。
• ポリシー適用 - セキュリティベストプラクティスの自動適用。OPAやKyvernoなどのPolicy as Codeツールで、ルール違反のマニフェストを自動的に拒否します。
• ドリフト検出 - インフラの意図しない変更の検出。Gitで定義された「あるべき状態」と実際のクラスタ状態を比較し、手動変更や不正な変更を検知します。

CI/CDパイプラインセキュリティ

• パイプライン保護 - ビルドプロセスの改ざん防止。パイプライン定義ファイル自体もGitで管理し、変更にはレビューを必須化します。
• アーティファクト署名 - デプロイメント成果物の完全性保証。Sigstore/Cosignでコンテナイメージに署名し、デプロイ時に署名を検証します。
• アクセス制御 - パイプライン実行権限の適切な管理。CI/CDが利用するクラウド認証情報は、必要最小限の権限にスコープを絞ります。

セキュリティベストプラクティス

シークレット管理

• 外部シークレットストア使用 - HashiCorp Vault、AWS Secrets Manager等の活用。Gitには暗号化された参照情報のみを保存し、実際の値は実行時にストアから取得します。
• シークレットローテーション - 定期的な認証情報の更新。漏洩時の被害範囲と期間を最小化します。
• 最小権限原則 - 必要最小限のアクセス権限付与。1つの認証情報がクラスタ全体を操作できるような過剰権限を避けます。

アクセス制御

• ブランチ保護 - mainブランチへの直接push禁止。本番環境に反映されるブランチへの変更は必ずPull Request経由にします。
• Pull Request レビュー - 必須のコードレビュープロセス。最低1名以上の第三者レビューを必須にし、意図しない変更やレビュー漏れを防ぎます。
• 多要素認証（MFA） - Git サービスアクセスの強化。アカウント乗っ取りによる不正なコミット・マージのリスクを低減します。
• 署名付きコミット - GPGやSSHキーによるコミット署名を必須化し、コミットが本人によるものであることを暗号学的に保証します。

監査とコンプライアンス

• 変更履歴追跡 - すべての変更の記録と追跡
• デプロイメント承認 - 本番環境への変更承認プロセス
• コンプライアンス検証 - 規制要件への適合性確認

主要ツールとソリューション

セキュリティスキャニング

• GitHub Advanced Security - GitHub統合セキュリティ機能
• GitLab Security - GitLab統合セキュリティソリューション
• Snyk - 脆弱性管理とライセンスコンプライアンス
• Checkmarx - 静的・動的アプリケーションセキュリティテスト

Policy as Code

• Open Policy Agent (OPA) - ポリシー実行エンジン
• Gatekeeper - Kubernetes向けポリシー制御
• Falco - ランタイムセキュリティ監視

シークレット管理

• HashiCorp Vault - エンタープライズシークレット管理
• AWS Secrets Manager - AWSネイティブシークレット管理
• Azure Key Vault - Azureシークレット管理サービス

設定例：Sealed SecretsによるGit上の秘密情報保護

GitOpsでは設定ファイルをすべてGitで管理しますが、パスワードやAPIキーを平文でコミットすると重大な情報漏洩につながります。Bitnami Sealed Secretsを使うと、秘密情報を暗号化した状態でGitリポジトリに安全にコミットできます。

# 通常のSecretをkubesealで暗号化してSealedSecretを生成
kubectl create secret generic db-password \
  --dry-run=client \
  --from-literal=password=my-secret-password \
  -o yaml | kubeseal --format yaml > sealed-secret.yaml

# 生成されたsealed-secret.yamlはGitにコミットしても安全
# （クラスタ内のSealed Secretsコントローラーだけが復号可能）
apiVersion: bitnami.com/v1alpha1
kind: SealedSecret
metadata:
  name: db-password
  namespace: production
spec:
  encryptedData:
    password: AgBy8hCiFn3O1c...（暗号化された値）

この方式により、平文の秘密情報をGitリポジトリに残すことなく、GitOpsの「すべての変更をGit経由で行う」という原則を維持しながら安全に運用できます。

従来型デプロイとの比較

GitOpsセキュリティの考え方を理解するには、従来の手動・スクリプトベースのデプロイ運用と比較すると分かりやすくなります。

GitOpsセキュリティのメリット・デメリット

メリット

• すべての変更がGit履歴として残るため、誰が・いつ・何を変更したかの追跡が容易
• 本番環境への直接アクセス権限を最小化でき、攻撃対象領域をGitとCI/CDパイプラインに集約できる
• 問題発生時にgit revertで迅速かつ確実にロールバックできる
• Pull Requestのレビュープロセスがそのままセキュリティレビュー・変更承認プロセスとして機能する

デメリット・注意点

• Gitリポジトリ自体が単一障害点・攻撃対象になるため、リポジトリへのアクセス制御と保護が最重要課題になる
• 秘密情報をそのままGitにコミットしてしまうリスクがあり、Sealed SecretsやVaultなど専用の仕組みの導入が必須
• CI/CDパイプラインの認証情報（デプロイ用トークン等）が漏洩すると、Gitへの書き込みだけで本番環境に不正な変更を反映されるリスクがある
• GitOpsツール（Argo CD、Flux等）自体の脆弱性やRBAC設定ミスが、クラスタ全体への攻撃経路になり得る

実装上の課題と対策

開発速度との両立

セキュリティチェックが開発速度を阻害しないよう、以下の対策を実施：

• 早期段階でのセキュリティテスト統合
• 自動化による手動作業の削減
• リスクベースアプローチによる優先度付け

False Positive管理

• 適切なルール調整とホワイトリスト管理
• 継続的な学習と改善プロセス
• 専門チームによる結果の検証

実務での活用シーン・導入時の注意点

• マルチクラスタ・マルチ環境管理：開発・検証・本番の複数Kubernetesクラスタを、環境ごとに分けたGitリポジトリ（またはブランチ）で一元管理し、環境間の設定差分をレビュー可能な形で管理します。
• 監査対応の効率化：金融・医療など監査要件が厳しい業界では、GitOpsのコミット履歴とPRレビューログをそのまま変更管理の証跡として活用できます。
• 導入時の注意点：GitOps移行の初期段階では、Gitリポジトリへの書き込み権限が実質的に本番環境への変更権限と同義になることを関係者全員に周知し、ブランチ保護・レビュー必須化を先に整備してから運用を始めます。
• 導入時の注意点：CI/CDパイプラインが使用するデプロイ用トークン・認証情報は、有効期限の短いトークンやOIDC連携に切り替え、長期間有効な静的認証情報の利用を避けます。

関連技術

• Git - バージョン管理システム
• Kubernetes - コンテナオーケストレーション
• CI/CD - 継続的インテグレーション・デプロイメント
• DevOps - 開発・運用手法

この用語についてもっと詳しく

GitOps Securityに関するご質問や、システム導入のご相談など、お気軽にお問い合わせください。