NixOSの秘密鍵管理、主要6ツール徹底比較と安全な運用のコツ

NixOSの秘密鍵管理、長年の経験から導く最適解とは

NixOSはその再現性の高さで人気を集めるLinuxディストリビューションだ。しかし、サーバーのパスワードやAPIキーといった「秘密」の管理は、NixOS特有の課題を抱えている。Nixストアがワールドリーダブルであるという根本的な特性だ。

3年間NixOSを使い続けてきた開発者Isabel Roses氏は、自身のブログで主要なシークレット管理ツール6（7）つを比較し、その知見を公開した。これは、NixOSでの安全な運用を考えるすべての開発者にとって、極めて実践的な指針となる。

絶対に避けるべき3つの手法

Roses氏はまず、共有するマシンや公開リポジトリでは絶対に使ってはいけない手法を挙げる。それは、

1. ファイルシステムに直接格納し再現性を犠牲にする方法
2. プライベートGitリポジトリに保存する方法
3. Nix設定に直接秘密鍵を記述する方法 である。

これらが危険な理由は、Nixストアの世界-readable性にある。つまり、マシンにアクセス可能なユーザーなら誰でも、ストア経由で秘密鍵を読み取れてしまうのだ。Roses氏は、この問題の深刻さを、CVE-2026-31431 (copyfail) や CVE-2026-43284、CVE-2026-43500 (dirtyfrag) といった最近の脆弱性を引き合いに出して説明している。実際に、彼女自身も過去に秘密鍵を漏洩してしまった経験があるという。

検討すべきは「sops-nix」と「agenix/ragenix」

安全な運用のためには、専用のツールを使うのが鉄則だ。Roses氏が経験した主要ツールは、sops-nix、agenix、ragenixなどだ。

sops-nix：愛憎入り混じる定番ツール

sops-nixはRoses氏が最初に手にしたツールだが、当初は難解さから離脱してしまった。しかし、現在はドキュメントが大幅に改善され、SSH鍵を直接使って暗号化・復号できるようになった点を高く評価している。

使い方は、.sops.yamlファイルで暗号化ルールを定義し、sopsコマンドでYAML形式のシークレットファイルを編集するというものだ。ファイルは自動的に暗号化される。

ただし、現時点ではsops-nix側がこの新しいSSH鍵機能への完全な対応を追いつけていないようで、Roses氏はGitHubのissue（sops-nix#779、sops-nix#922）を参照している。

agenix/ragenix：シンプルさを求めるなら

agenixとそのフォークであるragenixは、年齢ベースの暗号化を採用しており、sops-nixに比べて設定がシンプルな場合がある。Roses氏のリストでは、これらが主要な選択肢の一つとして挙げられている。

ツール選択の背景にある思想

Roses氏の比較から浮かび上がるのは、「使いやすさ」と「セキュリティ」、「再現性」のトレードオフである。sops-nixは機能が豊富で柔軟だが、学習コストが高い。agenixは軽量だが、管理する鍵の数が増えると煩雑になる可能性もある。

重要なのは、どのツールを選ぶにせよ、NixOSの根本的な制約（ストアの可読性）を理解し、それを回避する設計をすることだ。Roses氏自身の「過ち」の共有は、この分野のコミュニティがいかに実践的な知恵を積み重ねているかを示している。

今後の展望とアクション

NixOSコミュニティはこの問題に取り組み続けており、ツールのドキュメント改善や新機能の統合が進んでいる。ユーザーに求められるのは、まず自らの設定を公開リポジトリで管理しているか、マシンを共有する可能性がないかを点検することだ。

その上で、sops-nixかagenixのいずれかを試し、小さなシークレットから管理を始めることをお勧めする。セキュリティは一度設定して終わりではなく、継続的な改善プロセスなのだ。

---

FAQ

Q: Nix初心者ですが、どのツールから始めるのがおすすめですか？ A: 現在のドキュメントの充実度やSSH鍵サポートを考えると、sops-nixが有力な選択肢です。最初は難しさを感じるかもしれませんが、長期的な運用の柔軟性を確保できます。まずはテスト用の仮想マシンで、ドキュメントに沿って小さなシークレットファイルを暗号化するところから始めてみましょう。

Q: 秘密鍵をGitリポジトリに保存するのは、git-cryptを使えば安全ではないですか？ A: いいえ、NixOSにおいては根本的な解決にはなりません。git-cryptでリポジトリ内のファイルを暗号化しても、Nixがビルド時にそれらのファイルをNixストアにコピーする段階で、復号された平文がワールドリーダブルなストアに格納されてしまうリスクが残ります。専用のシークレット管理ツールは、このストアへの格納方法自体を制御する点が異なります。

Q: 現在進行形で脅威となっているCVE-2026-31431 (copyfail)とは具体的に何ですか？ A: 提供された記事の情報では、名称とCVE番号が挙げられているだけで、その技術的詳細については言及されていません。しかし、NixOSのセキュリティコミュニティで活発に議論されている脆弱性の一つであり、秘密鍵管理の重要性を改めて示す事例として注目されています。最新の情報はNixOSの公式セキュリティ通告を確認してください。