Vault vs SOPS: どちらのシークレット管理手法を選ぶか

著者 Kaveh Alemi·Latchkey

HashiCorp Vault は動的シークレットときめ細かなポリシーを備えた集中型シークレットサーバであり、SOPS はシークレットファイルを暗号化して Git フレンドリーなファイルベースのワークフローを実現します。

Vault はシークレットを集中的に保存・仲介し、動的で短命な認証情報、leasing、豊富なアクセスポリシーを発行しますが、あなたが運用し保護するサービスです。SOPS は個々のファイルを（KMS、age、PGP 鍵で）暗号化するため、シークレットは暗号化された状態で Git 内に存在し、運用するサーバがありません。Vault は動的シークレットと集中管理で勝り、SOPS はシンプルさと GitOps フレンドリーなファイル暗号化で勝ります。

ユースケースとモデル

Vault は動的で短命な認証情報、集中ポリシー、幅広い secret engine の統合を必要とする組織に適しています。SOPS は最小限のインフラで Git 内に暗号化シークレットを置き、デプロイ時に KMS または age 鍵で復号したいチームに適しています。

ops と CI への適合

Vault は運用し、unseal し、堅牢化する必要があるサーバであり、SOPS は CLI に鍵を加えたものです。CI では SOPS がファイルをインラインで復号する一方、Vault は auth 経由で取得されます。より高速なマネージド runner が、パイプラインにおけるシークレット取得と復号の両ステップを短縮します。

Decide with your own numbers, not a feature table

Feature comparisons age badly and rarely decide anything, because both tools in a mature category can do the job. What differs is how each behaves on your repository, and that takes one afternoon to measure.

# time a cold install with each candidate, cache cleared
hyperfine --prepare "rm -rf node_modules" --warmup 1 \
  "<tool-a> install" "<tool-b> install"

# and the thing CI actually pays for: a cold run with no local cache
docker run --rm -v "$(pwd):/w" -w /w node:22 sh -c "<tool> install"

What actually changes when you switch

• Lockfile format. A switch is a one-way door for anyone still on the old tool until everyone migrates, so plan it as a single coordinated change.
• Resolution strictness. Tools differ on whether an undeclared transitive import works, and the stricter one will surface latent bugs as new failures.
• CI cache configuration. The cache path and key differ per tool; carrying over the old ones silently disables caching.
• Everyone on the team and every runner must move together. Pin the version so they cannot drift.

結論

動的シークレット、leasing、集中ポリシーが欲しいなら Vault。サーバ不要でシンプルかつ Git フレンドリーな暗号化シークレットファイルが欲しいなら SOPS。動的/集中のニーズは Vault を好み、GitOps のシンプルさは SOPS を好みます。

よくある質問

関連ガイド