Backstageセキュリティマスター: 設定のオーバーライドとシークレット管理の推奨ガイド

6月 25, 2026

—

こんにちは！今日は、Backstageを運用しながらセキュリティと柔軟性を同時に確保できる重要なテーマ、「デフォルト値のオーバーライドとシークレット管理の推奨方法」について詳しく見ていきましょう。🛡️

Backstageは大規模な開発者ポータルであるため、設定ファイルに機密性の高いAPIキーやトークンが含まれる可能性が高いです。これらを安全に管理し、環境ごとに異なる設定を適用するための最適な方法をまとめました！💡

🏗️ Backstage設定システムの構造: app-config.yaml

Backstageのすべての設定は、基本的にapp-config.yamlファイルで管理されます。しかし、運用環境(Production)、ステージング、ローカル開発環境によって設定は異なり、何よりもセキュリティが必要なデータは、このファイルに平文で保存してはなりません。 🚫

🌟 ステップ1: 環境別設定のオーバーライド

Backstageは、複数の設定ファイルを重ねて使用する階層的設定(Hierarchical Configuration)方式をサポートしています。

✅ 環境別ファイルの分離

推奨される方法は、基本設定をapp-config.yamlに置き、特定の環境でのみ変更される内容を別のファイルに記述することです。

app-config.yaml: すべての環境で共有される基本設定 🏠
app-config.production.yaml: 運用サーバーでのみ適用されるオーバーライド設定 🚀
app-config.local.yaml: 開発者個人のローカル環境設定 (Git無視を推奨) 💻

🔐 ステップ2: シークレット管理の基本: 環境変数(Environment Variables)

Backstageでパスワード、トークン、APIキーなどの機密情報を管理する最も推奨される方法は、環境変数を使用することです。

📝 YAMLファイルでの環境変数参照

YAMLファイル内に直接シークレット情報を記述せず、${ }構文を使用してシステム環境変数を参照してください。

YAML

backend:
  auth:
    keys:
      - secret: ${BACKEND_SECRET} # 環境変数から読み込み 🔑
  database:
    connection:
      password: ${POSTGRES_PASSWORD}

💡 なぜ環境変数なのか？

セキュリティ: ソースコード(Git)にシークレット情報が露出されません。
柔軟性: 同じコードをデプロイしても、インフラ設定(Kubernetes Secrets、AWS Secrets Managerなど)に応じて異なる値を注入できます。
標準: クラウドネイティブ環境で最も広く使用されているセキュリティ準拠方式です。☁️

🛡️ ステップ3: ランタイム環境変数注入戦略

環境変数を実際にどのように注入するかによって、セキュリティのレベルが変わります。

1. ローカル開発環境

.envファイルを使用するか、シェルで直接エクスポート(export)することができます。ただし、.envファイルは必ず.gitignoreに追加する必要があります！⚠️

2. Kubernetes環境

Secretsリソースを作成し、それをコンテナの環境変数としてマッピングして使用します。

3. クラウド専用セキュリティサービス

AWS Secrets Manager、HashiCorp Vault、Azure Key Vaultなどの専門ツールを使用して、デプロイパイプライン(CI/CD)の過程で環境変数を動的に注入することが、最も強力なセキュリティモデルです。🔒

🔍 ステップ4: visibility設定によるフロントエンド保護

Backstageの設定の一部はフロントエンド(ブラウザ)に渡されます。この際、機密情報が漏洩しないように注意が必要です。

デフォルト: ほとんどのバックエンド設定はフロントエンドに公開されません。
公開制御: visibility: frontendと明示された設定のみブラウザが読み取ることができます。シークレット情報が含まれるフィールドには、絶対にこの設定を使用しないでください！🙅‍♂️

💡 要約: セキュリティチェックリスト

平文保存禁止: app-config.yamlにAPIキーを直接記述していませんか？❌
環境変数活用: ${VAR_NAME}構文を積極的に使用していますか？✅
Git管理: 機密情報が含まれる.local.yamlや.envがGitにアップロードされないように設定しましたか？🛡️
最小権限: 各環境変数には、必要な最小限の権限のみが付与されたトークンを割り当てましたか？🔑

🏁 結論: 柔軟で安全なBackstage運用

Backstageで推奨される設定管理の核心は、「基本はファイルで共有し、違いはファイルでオーバーライドし、シークレットは環境変数で隠蔽する」という原則です。

この体系をしっかりと構築しておけば、サービス規模が拡大してもセキュリティ事故の心配なく安定的にプラットフォームを運用できます。今すぐあなたのapp-config.yamlを点検してみてください！🚀