IT用語
パスワードやAPIキー、鍵などを定期的または必要に応じて新しいものに作り直し、古いものを無効にすること。
ローテーションは、セキュリティの分野では、パスワード、APIキー、アクセストークン、暗号の鍵などの 認証情報 を、新しいものに作り直して古いものを無効にすることを指します。
行うタイミング
- 漏えいした、または漏えいの疑いがあるとき（すぐに行う）
- 担当者の退職や異動、委託先との契約の終了など、知っている人が変わったとき
- 決めた期間ごとに定期的に行う（クラウドのアクセスキーや暗号の鍵など）
進め方のポイント
- 新しい値を発行し、使っているすべての場所を新しい値に切り替えてから、古い値を無効にする
- どこで使っているかを一覧にしておく（漏れがあると、切り替えたあとにサービスが止まる）
- クラウドやシークレットの管理機能の、自動ローテーションの機能を使う
パスワードの定期変更について
人が覚えて使うパスワードは、定期的に変更を強制すると、かえって推測しやすいパスワードになりがちです。米国の NIST のガイドラインでも、漏えいの疑いがない限り定期変更を求めないことが推奨されています。一方、プログラムが使う APIキーや鍵は、定期的なローテーションが有効です。
