git-secretsに触れて、シークレットの管理方法の再考をする

Mon, 04 May 2026 20:13:38 +0900

よ〜んです

GitHub のリポジトリに AWS アクセスキーや API キーなどのシークレットを誤ってコミットしてしまう可能性ってありますよね。もちろんビューで気づけるのが理想ですけど、大AI時代となった今、人の目だけに頼る運用には限界があります。

コードレビュー以外の方法でシークレット混入を機械的に防げないかを調査して見ました。AWS Labs が公開している git-secrets というツールを見つけたので、本記事ではそれを実際に触ってみようと思います。

git-secretsとは

git-secrets は、シークレットや認証情報が Git リポジトリにコミットされることを防ぐためのツールです。AWS の Prescriptive Guidance でも、パスワードや AWS アクセスキーなどの機密情報を検出する用途で紹介されていたりします。

特に AWS を扱う場合は、認証情報パターン(ルールセット)を一括登録するコマンドも用意されています

git secrets --register-aws

macOS なら Homebrew でサクッとインストール可能です：

brew install git-secrets

ここが大事なんですけど、ツールをインストールしただけではまだ各リポジトリで動きません。

対象のリポジトリで以下を実行します

git secrets --install
git secrets --register-aws

git-secrets は Git hooks に依存しているので、ツールのインストール後に、リポジトリごとに hooks をセットアップする必要があります。

検証用にシークレットらしき値を含むファイルを作ってみます（もちろんダミーですよ！！！）

cat << 'EOF' > .env
AWS_ACCESS_KEY_ID=HOGEIOSFODNN7EXAMPLE
AWS_SECRET_ACCESS_KEY=fUgalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
EOF

この状態でコミットしようとすると、git-secrets が検知して止めてくれます：

git add .env
git commit -m "add env file"

検知されると、対象ファイルの行番号や一致した内容が表示されて、コミントは失敗します。Matched one or more prohibited patterns が出力されます。