aws-vault vs Granted: A Comparison of Tools for Securely Managing AWS Credentials on macOS

# aws-vault vs Granted: AWSクレデンシャル管理ツール徹底比較 ## はじめに AWSのマルチアカウント運用では、クレデンシャルの安全な管理が重要課題です。本記事では **aws-vault** と **Granted** の2つのツールを、macOS Keychain統合・セットアップ・ワークフローの観点から比較します。 --- ## ツール概要 ### aws-vault 99designs社が開発したOSSで、AWSクレデンシャルをOSのキーチェーン（macOS Keychain / Linux Secret Service等）に安全に保存し、一時的な環境変数としてコマンドに渡すツールです。 ``` # 基本的な使い方 aws-vault exec my-profile -- aws s3 ls ``` ### Granted Common Fate社が開発したOSSで、aws-vaultの思想を継承しつつ、マルチアカウント運用の**UX改善**に特化しています。ブラウザの複数プロファイル同時起動など、開発者体験を重視した機能が特徴です。 ``` # 基本的な使い方 assume my-profile ``` --- ## macOS Keychain統合の比較 ### aws-vault のKeychain統合 aws-vaultはデフォルトでmacOS Keychainを使用します。 ```bash # バックエンドの確認・指定 aws-vault --backend=keychain exec my-profile -- aws sts get-caller-identity # Keychainに保存されたクレデンシャルの確認 aws-vault list ``` **保存の仕組み：** ``` macOS Keychain └── aws-vault (キーチェーン項目) ├── profile: production │ ├── aws_access_key_id: AKIA... │ └── aws_secret_access_key: **** └── profile: staging ├── aws_access_key_id: AKIA... └── aws_secret_access_key: **** ``` 利用可能なバックエンド： | バックエンド | 対応OS | 特徴 | |-------------|--------|------| | keychain | macOS | デフォルト、Touch ID対応 | | secret-service | Linux | GNOME Keyring等 | | kwallet | Linux | KDE向け | | wincred | Windows | Windows Credential Manager | | pass | Linux/macOS | GPGベース | | file | 全OS | 暗号化ファイル（非推奨） | ### Granted のKeychain統合 GrantedはAWSクレデンシャル自体は `~/.aws/credentials` の標準管理に委ね、**セッショントークンやキャッシュの管理**にKeychainを活用します。 ```bash # Grantedのセキュアストレージ確認 granted credentials list # Keychainアクセスの設定 granted settings set --keychain-backend keychain ``` **保存の仕組み：** ``` ~/.aws/credentials # 長期クレデンシャル（標準管理） macOS Keychain └── granted (キーチェーン項目) ├── session_token_cache │ ├── profile: production (有効期限付き) │ └── profile: staging (有効期限付き) └── sso_token_cache └── sso-session: my-sso ``` ### Keychain統合の比較まとめ | 項目 | aws-vault | Granted | |------|-----------|---------| | 長期クレデンシャル保存場所 | Keychain | ~/.aws/credentials | | セッショントークン保存 | Keychain | Keychain | | Touch ID対応 | ✅ | ✅ | | credentials管理の透明性 | 低（全てKeychain） | 高（標準ファイル併用） | | 既存設定との互換性 | 要移行 | 高い | --- ## セットアップ手順 ### aws-vault セットアップ **1. インストール** ```bash # Homebrew brew install aws-vault # または直接ダウンロード # https://github.com/99designs/aws-vault/releases ``` **2. クレデンシャルの追加** ```bash # 対話形式でKeychainに保存 aws-vault add my-profile # Enter Access Key ID: AKIAIOSFODNN7EXAMPLE # Enter Secret Access Key: **** # 確認 aws-vault list ``` **3. ~/.aws/config の設定** ```ini [profile my-profile] region = ap-northeast-1 [profile production] source_profile = my-profile role_arn = arn:aws:iam::123456789012:role/ProductionRole mfa_serial = arn:aws:iam::000000000000:mfa/username [profile staging] source_profile = my-profile role_arn = arn:aws:iam::987654321098:role/StagingRole ``` **4. MFA設定（オプション）** ```bash # MFAトークンを都度入力 aws-vault exec production -- aws s3 ls # Enter MFA code for arn:aws:iam::000000000000:mfa/username: 123456 # セッション時間の延長 aws-vault exec production --duration=8h -- bash ``` **5. AWS SSO対応** ```ini [profile sso-profile] sso_start_url = https://my-sso.awsapps.com/start sso_account_id = 123456789012 sso_role_name = PowerUserAccess sso_region = ap-northeast-1 ``` ```bash aws-vault login sso-profile ``` --- ### Granted セットアップ **1. インストール** ```bash # Homebrew brew tap common-fate/granted brew install granted # シェル統合のセットアップ（重要） granted completion -s zsh >> ~/.zshrc # zshの場合 # または granted completion -s bash >> ~/.bashrc source ~/.zshrc ``` **2. シェルエイリアスの確認** Grantedは `assume` コマンドで環境変数を**現在のシェルに直接設定**するため、シェル統合が必須です。 ```bash # 正しく設定されているか確認 which assume # → /usr/local/bin/assume (シェル関数として設定される) ``` **3. 既存の ~/.aws/config を活用** ```bash # 既存プロファイルをそのまま利用可能 granted profiles list # プロファイルの検索（fuzzy finder対応） assume # → インタラクティブにプロファイルを選択できる ``` **4. AWS SSO対応** ```bash # SSO設定ウィザード granted sso populate # または手動で ~/.aws/config に記載 ``` ```ini [profile dev-account] sso_start_url = https://my-sso.awsapps.com/start sso_account_id = 123456789012 sso_role_name = DeveloperAccess sso_region = ap-northeast-1 region = ap-northeast-1 [sso-session my-sso] sso_start_url = https://my-sso.awsapps.com/start sso_region = ap-northeast-1 sso_registration_scopes = sso:account:access ``` ```bash # SSOログイン assume dev-account # → ブラウザが開いてSSO認証 ``` **5. ブラウザプロファイル設定（Granted独自機能）** ```bash # ブラウザの設定 granted browser set # Chromeプロファイルとの紐付け granted registry add --profile production --chrome-profile "Work" ``` --- ## マルチアカウント運用時のワークフロー比較 ### シナリオ：開発・ステージング・本番環境の切り替え **前提となる ~/.aws/config** ```ini # 共通のベースプロファイル [profile base] region = ap-northeast-1 # 開発環境 [profile dev] source_profile = base role_arn = arn:aws:iam::111111111111:role/DevRole role_session_name = developer # ステージング環境 [profile staging] source_profile = base role_arn = arn:aws:iam::222222222222:role/StagingRole role_session_name = developer # 本番環境 [profile production] source_profile = base role_arn = arn:aws:iam::333333333333:role/ProductionRole role_session_name = developer mfa_serial = arn:aws:iam::000000000000:mfa/username ``` --- ### aws-vault のワークフロー ```bash # 単発コマンド実行 aws-vault exec dev -- aws s3 ls aws-vault exec staging -- terraform plan aws-vault exec production -- aws ec2 describe-instances # サブシェルで作業（環境変数が設定されたシェルに入る） aws-vault exec dev -- bash # → このシェル内では全コマンドがdevプロファイルで実行 $ aws s3 ls $ terraform apply $ exit # シェルを抜けると環境変数がクリアされる # 複数ウィンドウでの並行作業 # ターミナルタブ1: aws-vault exec dev -- bash # ターミナルタブ2: aws-vault exec staging -- bash # ターミナルタブ3: aws-vault exec production -- bash # 現在のアイデンティティ確認 aws-vault exec dev -- aws sts get-caller-identity ``` **aws-vaultのサブシェル内の環境変数：** ```bash aws-vault exec dev -- env | grep AWS # AWS_VAULT=dev # AWS_DEFAULT_REGION=ap-northeast-1 # AWS_ACCESS_KEY_ID=ASIA...（一時クレデンシャル） # AWS_SECRET_ACCESS_KEY=**** # AWS_SESSION_TOKEN=**** # AWS_CREDENTIAL_EXPIRATION=2024-01-01T12:00:00Z ``` --- ### Granted のワークフロー ```bash # assumeでプロファイルを現在のシェルに設定 assume dev # ✅ Assumed role: arn:aws:iam::111111111111:role/DevRole # 現在のシェルで直接コマンド実行（サブシェル不要） aws s3 ls terraform plan # 別プロファイルに切り替え assume staging # ✅ Assumed role: arn:aws:iam::222222222222:role/StagingRole # プロファイルの解除 unassume # インタラクティブ選択（fzf統合） assume # → fuzzy finderでプロファイルを検索・選択 # プロファイル確認 assume -d # 現在のプロファイルを表示 ``` **Grantedの環境変数：** ```bash assume dev && env | grep AWS # AWS_PROFILE=dev # AWS_DEFAULT_REGION=ap-northeast-1 # AWS_ACCESS_KEY_ID=ASIA... # AWS_SECRET_ACCESS_KEY=**** # AWS_SESSION_TOKEN=**** # GRANTED_ALIAS=dev ``` --- ### ブラウザ複数アカウント同時アクセス（Granted独自機能） Grantedの最大の差別化機能として、**複数AWSアカウントのコンソールを同時にブラウザで開く**機能があります。 ```bash # AWSコンソールをブラウザで開く granted console dev # → Chrome/Firefoxのdev専用プロファイルでコンソールが開く granted console staging # → 別のブラウザプロファイルでコンソールが開く # 同時に複数アカウントのコンソールを開いても # セッションが混在しない！ ``` ```bash # ~/.granted/config での設定例 [browser] default = CHROME [profiles] [profiles.dev] browser_profile = "AWS Dev" [profiles.production] browser_profile = "AWS Prod" ``` --- ### Terraform運用での比較 **aws-vault の場合：** ```bash # terraform実行 aws-vault exec production -- terraform init aws-vault exec production -- terraform plan -out=tfplan aws-vault exec production -- terraform apply tfplan # Makefileへの統合 # Makefile VAULT_CMD = aws-vault exec $(AWS_PROFILE) -- tf-plan: $(VAULT_CMD) terraform plan tf-apply: $(VAULT_CMD) terraform apply ``` **Granted の場合：** ```bash # assumeしてからterraform実行 assume production terraform init terraform plan -out=tfplan terraform apply tfplan # 環境変数が設定されているのでシームレスに実行 # CI/CD環境では assume --no-input オプションを使用 ``` --- ### CI/CD環境での利用 **aws-vault（GitHub Actions）：** ```yaml # .github/workflows/deploy.yml jobs: deploy: runs-on: ubuntu-latest steps: - name: Configure AWS credentials uses: aws-actions/configure-aws-credentials@v4 with: role-to-assume: arn:aws:iam::123456789012:role/GitHubActionsRole aws-region: ap-northeast-1 # aws-vaultはCI環境では通常不要 # OIDC + IAM Roles for Service Accountsを推奨 ``` **Granted（ローカル→CI移行）：** ```bash # ローカルでの動作確認 assume dev aws sts get-caller-identity # CI環境では環境変数を直接設定 # GRANTED_SSO_START_URL等の変数も活用可能 ``` --- ## 機能比較マトリクス | 機能 | aws-vault | Granted | |------|-----------|---------| | **セキュリティ** | | | | Keychainへの長期クレデンシャル保存 | ✅ | ❌（標準credentialsファイル） | | 一時クレデンシャルの自動生成 | ✅ | ✅ | | MFA対応 | ✅ | ✅ | | **使いやすさ** | | | | 現在のシェルへの環境変数設定 | ❌（サブシェル） | ✅ | | インタラクティブプロファイル選択 | ❌ | ✅（fzf） | | シェル補完 | ✅ | ✅ | | **マルチアカウント機能** | | | | 複数ブラウザプロファイル対応 | ❌ | ✅ | | AWSコンソール起動 | ✅（limited） | ✅（高機能） | | **SSO対応** | | | | AWS SSO/IAM Identity Center | ✅ | ✅ | | SSOセッション自動更新 | 手動 | ✅（自動） | | **互換性** | | | | 既存credentialsとの互換性 | 要設定 | 高い | | Docker/コンテナ連携 | ✅（--server mode） | 限定的 | | **プラットフォーム** | | | | macOS | ✅ | ✅ | | Linux | ✅ | ✅ | | Windows | ✅ | ✅ | --- ## ユースケース別の選び方 ### aws-vault を選ぶべきケース **1. セキュリティを最優先する場合** ```bash # 長期クレデンシャルをKeychainに完全隔離 # ~/.aws/credentialsファイルには何も残らない aws-vault add high-security-profile # → Keychainにのみ保存、ファイルシステムに痕跡なし ``` ``` 適したケース： - セキュリティ監査を受ける環境 - 規制業種（金融・医療等） - 共有PCでの作業 - SOC2/ISO27001準拠が必要な場合 ``` **2. コンテナ/Docker環境との連携** ```bash # aws-vaultのサーバーモード aws-vault exec dev --server -- docker-compose up # → コンテナ内からEC2メタデータエンドポイントとして # クレデンシャルを提供（169.254.169.254互換） # docker-compose.yml # services: # app: # environment: # AWS_CONTAINER_CREDENTIALS_RELATIVE_URI: /... ``` **3. スクリプト/自動化での確実な実行** ```bash #!/bin/bash # 毎回クリーンな環境でコマンドを実行 aws-vault exec production -- ./deploy.sh aws-vault exec production -- ./verify.sh # サブシェルなので環境汚染のリスクがない ``` --- ### Granted を選ぶべきケース **1. 多数のアカウントを頻繁に切り替える場合** ```bash # インタラクティブ選択で素早く切り替え assume # ↓ fzfによる検索UI # > dev-account-ap-northeast-1 # dev-account-us-east-1 # staging-account # production-account-jp # production-account-us # ...（大量のプロファイルも素早く選択） ``` **2. AWSコンソールを複数アカウントで同時作業** ```bash # 複数アカウントのコンソールを同時に開く granted console dev # Chromeプロファイル"Dev"で開く granted console staging # Chromeプロファイル"Staging"で開く granted console production # Chromeプロファイル"Prod"で開く # → 3つのアカウントを同時に確認・操作可能 # → セッションの混在なし ``` **3. AWS SSOを中心とした運用** ```bash # SSO設定の一括インポート granted sso populate --sso-start-url https://my-sso.awsapps.com/start # → 利用可能な全アカウント・ロールを自動で ~/.aws/config に追記 # → 手動でconfig編集不要 # 自動でSSOセッションを更新 assume production # → セッション切れの場合、自動でブラウザ認証を起動 ``` **4. チーム開発・オンボーディング重視** ```bash # 設定の共有が容易 # ~/.aws/config を共有リポジトリで管理 # 新メンバーのセットアップ brew install granted git clone company-aws-config cp company-aws-config/config ~/.aws/config granted sso login # → すぐに全環境を利用可能 ``` --- ### 判断フローチャート ``` AWSクレデンシャル管理ツール選択 │ ├─ 長期クレデンシャルをファイルシステムから │ 完全に隔離したい？ │ └─ YES → aws-vault 一択 │ ├─ コンテナ/Dockerとの統合が重要？ │ └─ YES → aws-vault（--serverモード） │ ├─ AWS SSO/IAM Identity Center を主に使用？ │ └─ YES → Granted（SSO体験が優秀） │ ├─ ブラウザで複数アカウントを │ 同時に操作したい？ │ └─ YES → Granted 一択 │ ├─ 既存の ~/.aws/config 設定を │ 活かしたい？ │ └─ YES → Granted（互換性が高い） │ └─ 上記以外・セキュリティ重視 └─ aws-vault ``` --- ### 両方を併用するアプローチ 実は両ツールは排他的ではなく、**役割を分けて併用**することも可能です。 ```bash # aws-vault: 長期クレデンシャルの安全な保管 aws-vault add base-profile # Granted: プロファイル切り替えのUX向上 # GrantedがAWS_PROFILEを設定 → aws CLIが # ~/.aws/configのsource_profileを参照 → aws-vaultが処理 # .zshrcでのエイリアス設定例 alias av="aws-vault exec" alias assume-secure="aws-vault exec $1 -- bash" ``` --- ## まとめ | | aws-vault | Granted | |--|-----------|---------| | **一言で** | セキュリティ特化 | 開発者体験特化 | | **向いている人** | セキュリティ要件が厳しい・スクリプト自動化重視 | 多アカウントを日常的に操作・SSO中心 | | **学習コスト** | 低〜中 | 低（既存設定を流用可） | | **コミュニティ** | 成熟・大規模 | 成長中 | どちらも優れたツールですが、**セキュリティ要件が厳しい環境ではaws-vault**、**マルチアカウントのUXを重視するならGranted**という使い分けが基本指針です。AWS SSOへの移行が進んでいる現代の開発環境では、Grantedのシームレスなフローが特に価値を発揮します。