☑ゴール

前回の連載第1回では、特権ID管理の全体像を整理しながら、Vaultを使った特権アクセス管理の構成方針を紹介しました。

本記事（第2回）では、 Terraform + Vault + Ansible を用いた、完全自動構築フローの中核ステップを、 **「実装コード付き」かつ「1クリック展開可能な構成」**で徹底解説します。

⚡ Step 1 : TerraformでVaultの認証方式とポリシーを定義

resource "vault_auth_backend" "userpass" {
type = "userpass"
}

resource "vault_policy" "pam_policy" {
name = "pam-admin"
policy = <<EOT
path "secret/data/pam/*" {
capabilities = ["create", "read", "update", "delete", "list"]
}
EOT
}

この構成により、Vaultにおける userpass認証と PAM専用のアクセス制御ポリシーを定義できます。
すべてコード化されているため、再現性・監査性・自動展開性が大幅に向上します。

🔐 Step 2 : AnsibleでVaultのSecretを取得・反映

name: Get PAM credentials from Vault
uri:
url: "https://vault.example.com/v1/secret/data/pam/credential"
method: GET
headers:
X-Vault-Token: "{{ vault_token }}"
return_content: yes
status_code: 200
register: pam_secret
name: Set PAM credentials
set_fact:
pam_user: "{{ pam_secret.json.data.data.username }}"
pam_pass: "{{ pam_secret.json.data.data.password }}"

Vaultに保存された認証情報を取得し、Ansible変数へ格納します。
以降のタスク内で pam_user / pam_passを呼び出して、SSHやDB設定へ安全に反映可能です。

🔄 Step 3 : GitHub ActionsでCI/CD構築 (任意)

jobs:
pam_pipeline:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v3
- name: Run Ansible Playbook
run: ansible-playbook -i inventory setup-pam.yml

TerraformとAnsibleの処理をGitHub Actionsに組み込むことで、CI/CD化することで、インフラ構成 + PAMの自動管理が実現できます。

🔹 まとめ

TerraformでVaultのポリシーを定義

AnsibleでSecretを取得して変数化

GitHub ActionsでCI/CDに組み込み

この三問のフローにより、特権アクセスの安全性 + DevOps性を高深度で両立させる自動化構築が成立します。

⬆️ 次回予告

次回は、この構成を本番システムに実践適用する際のテスト解析・CI/CD向けパイプライン組み込みテクニックを詳細解説します。

→ 「GitHub Actions + Ansibleで実現する、現場で使えるPAMステートパイプライン」

ご感想や質問は、どんどん歓迎です。読んで頂き最後まで本当にありがとうございました。