シェルスクリプトでAPIキーとパスワードを安全に扱う設計｜コマンド履歴・ログ・プロセスリストにシークレットを残さない方法

この記事のポイント

・コマンドライン引数にシークレットを渡すと ps aux で全ユーザーに見える
・シークレットは環境変数か権限 600 のファイル経由で渡すのが基本設計
・read -s で入力をマスクし、コマンド履歴に残らないように設計できる
・set +x でシークレット処理前後のデバッグ出力を無効化できる

#!/bin/bash
# NG例: シークレットをスクリプトに直書き
curl -u "admin:mysecret123" https://api.example.com/data

$ ps aux | grep curl
tomohiro  1234  0.0  0.0  ...  curl -u admin:mysecret123 https://api.example.com/data

# set -x 有効時のログ出力例
+ curl -u admin:mysecret123 https://api.example.com/data

#!/bin/bash
set -euo pipefail

# 環境変数が設定されているか確認
if [[ -z "${API_KEY:-}" ]]; then
    echo "ERROR: 環境変数 API_KEY が設定されていません" >&2
    exit 1
fi

# 環境変数からシークレットを参照（引数には渡さない）
curl -H "Authorization: Bearer ${API_KEY}" https://api.example.com/data

# 方法1: exportして実行（サブシェルにも引き継がれる）
export API_KEY="mysecret123"
./script.sh

# 方法2: 実行時のみ設定（このコマンドの子プロセスだけに有効）
API_KEY="mysecret123" ./script.sh

# 方法3: .env ファイルを source してから実行
source .env
./script.sh

# HISTCONTROL=ignorespace を設定すると、行頭にスペースを付けたコマンドが履歴に残らない
export HISTCONTROL=ignorespace

# 行頭にスペース（半角1文字）を付けて入力
 export API_KEY="mysecret123"

# シークレットファイルを安全な権限で作成
# umask 0177 = 所有者のみ read/write（600）、グループ・他ユーザーは全て禁止
old_umask=$(umask)
umask 0177
cat > ~/.my-api-credentials << 'EOF'
API_KEY=mysecret123
DB_PASSWORD=dbpassword456
EOF
umask "${old_umask}"   # umaskを元に戻す

# 権限確認
ls -la ~/.my-api-credentials
# -rw------- 1 tomohiro tomohiro 45 Sep 25 10:00 /home/tomohiro/.my-api-credentials

#!/bin/bash
set -euo pipefail

CREDENTIALS_FILE="${HOME}/.my-api-credentials"

# ファイルの存在確認
if [[ ! -f "${CREDENTIALS_FILE}" ]]; then
    echo "ERROR: シークレットファイルが見つかりません: ${CREDENTIALS_FILE}" >&2
    exit 1
fi

# ファイルの権限チェック（600 以外はエラー）
file_perm=$(stat -c "%a" "${CREDENTIALS_FILE}")
if [[ "${file_perm}" != "600" ]]; then
    echo "ERROR: シークレットファイルの権限が緩すぎます: ${file_perm}（期待値: 600）" >&2
    echo "  chmod 600 ${CREDENTIALS_FILE} で修正してください" >&2
    exit 1
fi

# source でシークレット変数を読み込む
# shellcheck source=/dev/null
source "${CREDENTIALS_FILE}"

echo "APIに接続します..."
curl -H "Authorization: Bearer ${API_KEY}" https://api.example.com/data

# .gitignore に追加するパターン
.env
.env.*
*.credentials
*.secrets
.api-key

#!/bin/bash

# -s: 入力を表示しない（silentモード）
# -r: バックスラッシュのエスケープ処理を無効化（推奨）
# -p: プロンプト文字列
read -r -s -p "DBパスワードを入力してください: " DB_PASSWORD
echo   # read -s は改行を出力しないため、echoで改行を補う

if [[ -z "${DB_PASSWORD}" ]]; then
    echo "ERROR: パスワードが空です" >&2
    exit 1
fi

$ ./script.sh
DBパスワードを入力してください: （入力しても画面に表示されない）

# NG: 引数に渡すと ps aux でシークレットが見える
mysql -u "${DB_USER}" -p"${DB_PASSWORD}" dbname

# OK: MySQL は MYSQL_PWD 環境変数を認識する
MYSQL_PWD="${DB_PASSWORD}" mysql -u "${DB_USER}" dbname

# OK: psql は PGPASSWORD 環境変数を認識する
PGPASSWORD="${DB_PASSWORD}" psql -U "${DB_USER}" dbname

# OK: 設定ファイル経由（mysql の場合）
# ~/.my.cnf に [client] password = xxx を記述、chmod 600
mysql --defaults-file="${HOME}/.my.cnf" dbname

#!/bin/bash
set -euxo pipefail   # set -x でデバッグ出力を有効化

echo "サービスを開始します..."

# シークレットを扱うブロックだけ set -x を無効化
{
    set +x                                # デバッグ出力を無効化
    source "${HOME}/.my-api-credentials"  # この行はログに出ない
    API_KEY_LOCAL="${API_KEY}"            # 変数コピーもログに出ない
    set -x                                # デバッグ出力を再開
} 2>/dev/null   # set +x 自体の出力（"+ set +x"）を抑制

# ここから先は通常どおりデバッグ出力が有効
echo "API_KEY の先頭4文字: ${API_KEY_LOCAL:0:4}****"

#!/bin/bash

API_KEY="sk-abcdefghij1234567890"

# マスク変数を作成（先頭4文字 + ****）
masked_key="${API_KEY:0:4}****"

# NG: ログにシークレットをそのまま出力
echo "API接続: キー=${API_KEY}"

# OK: マスクした値のみをログに出力
echo "API接続: キー=${masked_key}"
# 出力例: API接続: キー=sk-a****

# 原因1: ファイルのパスが間違っている
source ~/.my-api-credentials  # ~ がホームディレクトリに展開されているか確認

# 原因2: .env ファイルの書式が間違っている
# NG: export や引用符が含まれる形式（shell依存の問題が起きやすい）
export API_KEY="mysecret"   # export は不要

# OK: KEY=VALUE 形式のみ（引用符なし）
API_KEY=mysecret

# 原因3: サブシェルで source しても親プロセスに伝わらない
$(source ~/.my-api-credentials)   # NG: コマンド置換は子プロセス
source ~/.my-api-credentials      # OK: 現在のシェルで直接実行

# エラー例
read: warning: read: -s: ignored with non-terminal input

# 原因: cron やパイプ経由の実行では TTY がない
# 対策: TTY の有無を確認してから read -s を使う
if [[ -t 0 ]]; then
    # 端末から実行された場合のみ read -s を使う
    read -r -s -p "パスワード: " DB_PASSWORD
    echo
else
    # TTYなし環境（cron等）ではファイル経由でシークレットを取得する
    source "${HOME}/.my-api-credentials"
fi

# stat -c "%a" はGNU coreutils版（Linux）の書式
# macOSでは stat -f "%OLp" を使う
# ポータブルに書くにはOS判定が必要
if [[ "$(uname)" == "Darwin" ]]; then
    file_perm=$(stat -f "%OLp" "${CREDENTIALS_FILE}")
else
    file_perm=$(stat -c "%a" "${CREDENTIALS_FILE}")
fi

＜PR＞手元に置いて学びを深める1冊

マスタリングLinuxシェルスクリプト 第2版

シェルスクリプトのセキュリティ設計・シークレット管理から自動化の実装パターンまで体系的に学べる、現場エンジニア必携の一冊。