知識マップ: PowerShellでの資格情報の安全な扱い ── 平文パスワードをスクリプトから追放する

記事「PowerShellでの資格情報の安全な扱い ── 平文パスワードをスクリプトから追放する」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

PowerShellスクリプトに平文で書かれたパスワードは、Git履歴・共有フォルダ・ログといったコピーが増える経路すべてが漏えい経路になる。対話実行はGet-CredentialでPSCredentialとして受け取れば足りるが、無人実行ではExport-ClixmlによるDPAPI暗号化(同一ユーザー・同一マシン限定)が最小構成の実用解になり、秘密が複数あればSecretManagement/SecretStoreやAzure Key Vaultでの一元管理へ進む。ただしSecretStoreはgMSAのような管理されたアカウントでは動作しない。最優先の現実解は資格情報そのものを持たない設計で、実行アカウントにgMSAを使えばパスワード管理をOSに任せられ、クラウド資源はマネージドIDへ寄せられる。加えてスクリプトブロックログには資格情報が記録されうるため、保護されたイベントログの併用も設計に含める必要がある。

flowchart LR
    accTitle: PowerShellの資格情報管理の知識マップ
    accDescr: 平文パスワードのリスクを起点に、Get-Credential・PSCredential・SecureStringによる受け渡し、Export-ClixmlのDPAPI保存、SecretManagement・SecretStore・Azure Key Vaultによる一元管理、gMSAとマネージドIDによる資格情報を持たない設計、スクリプトブロックログと保護されたイベントログの関係を示す図
    powershell["PowerShell"]
    plaintext_credential_risk["平文パスワードの埋め込みリスク"]
    pscredential["PSCredential"]
    get_credential["Get-Credential"]
    securestring["SecureString"]
    task_scheduler["タスクスケジューラの無人実行"]
    export_clixml["Export-Clixml(資格情報ファイル)"]
    dpapi["DPAPI"]
    secretmanagement["SecretManagementモジュール"]
    secretstore["SecretStoreモジュール"]
    azure_key_vault["Azure Key Vault"]
    gmsa["gMSA(group Managed Service Account)"]
    active_directory["Active Directory(AD DS)"]
    managed_identity["マネージドID"]
    entra_id["Microsoft Entra ID"]
    log_credential_exposure["ログ・トランスクリプトへの資格情報の漏えい"]
    script_block_logging["スクリプトブロックログ"]
    protected_event_logging["保護されたイベントログ(Protected Event Logging)"]
    psscriptanalyzer["PSScriptAnalyzer"]
    powershell -->|"利用する"| pscredential
    get_credential -->|"実装を担う"| pscredential
    pscredential -->|"利用する"| securestring
    get_credential -->|"推奨される対応"| plaintext_credential_risk
    get_credential -->|"用いるのは非推奨"| task_scheduler
    export_clixml -.->|"利用する"| dpapi
    task_scheduler -.->|"前提とする"| export_clixml
    export_clixml -->|"推奨される対応"| plaintext_credential_risk
    secretmanagement -->|"利用する"| secretstore
    secretmanagement -.->|"利用する"| azure_key_vault
    secretmanagement -->|"推奨される対応"| plaintext_credential_risk
    secretstore -.->|"前提とする"| export_clixml
    secretstore -->|"両立しない"| gmsa
    gmsa -->|"推奨される対応"| plaintext_credential_risk
    gmsa -->|"前提とする"| active_directory
    task_scheduler -.->|"利用する"| gmsa
    managed_identity -->|"推奨される対応"| plaintext_credential_risk
    managed_identity -->|"前提とする"| entra_id
    plaintext_credential_risk -->|"原因になり得る"| log_credential_exposure
    script_block_logging -.->|"原因になり得る"| log_credential_exposure
    protected_event_logging -->|"軽減する"| log_credential_exposure
    plaintext_credential_risk -->|"で確認できる"| psscriptanalyzer
    powershell -->|"利用する"| securestring
    azure_key_vault -->|"推奨される対応"| plaintext_credential_risk

概念間の関係(全24件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• PowerShellはPSCredentialを利用します。PowerShellはユーザー名とパスワードをひとまとめにしたPSCredentialオブジェクトで資格情報を受け渡す / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-CredentialはPSCredentialの実装を担います。Get-Credentialはユーザー名とパスワードの入力を促し、PSCredentialオブジェクトを返す / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PSCredentialはSecureStringを利用します。PSCredentialはパスワードをSecureStringとして内部に保持し、画面には表示しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-Credentialは平文パスワードの埋め込みリスクに対する本記事の推奨です。人がその場で実行するスクリプトでは、Get-Credentialで都度入力させることが平文パスワード埋め込みへの基本対策になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-Credentialをタスクスケジューラの無人実行に用いることは推奨されません。無人実行のタスクはGet-Credentialで人に聞くわけにいかないため、対話入力に依存する取得方法は使えない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Export-Clixml(資格情報ファイル)はDPAPIを利用します。Windows上でExport-Clixmlを実行した場合、資格情報オブジェクトのパスワードはDPAPIで現在のユーザーとマシンに紐づけて暗号化される。LinuxやmacOSのPowerShellにはDPAPIがなく、パスワードはUnicodeの文字配列として書き出されるだけで暗号化されない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• タスクスケジューラの無人実行はExport-Clixml(資格情報ファイル)を前提とします。タスクスケジューラの無人実行でパスワード入力なしに認証するには、実行アカウント自身が保存したExport-Clixmlの資格情報ファイルを使う構成が最小構成の実用解になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Export-Clixml(資格情報ファイル)は平文パスワードの埋め込みリスクに対する本記事の推奨です。無人実行で秘密が1〜2個の場合、Export-ClixmlによるDPAPI保存が平文埋め込みを避ける最小構成の実用解になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• SecretManagementモジュールはSecretStoreモジュールを利用します。SecretManagementはボールトへの統一インターフェースで、ローカル保存にはSecretStoreを拡張ボールトとして使う / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• SecretManagementモジュールはAzure Key Vaultを利用します。拡張ボールトにAzure Key Vaultを選ぶ場合、SecretManagementは保存先をAzure Key Vaultへ差し替えられる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• SecretManagementモジュールは平文パスワードの埋め込みリスクに対する本記事の推奨です。秘密が複数あり保存先を将来差し替えたい場合は、Set-Secret/Get-Secretで一元管理するSecretManagement+SecretStoreを使う / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• SecretStoreモジュールはExport-Clixml(資格情報ファイル)を前提とします。SecretStoreを無人実行で使うには、ボールトパスワードをExport-ClixmlでDPAPI保護したファイルに退避してUnlock-SecretStoreで解錠する構成が公式に案内されている / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• SecretStoreモジュールはgMSA(group Managed Service Account)と両立しません。SecretManagementは$env:LOCALAPPDATAとDPAPIに依存しており、プロファイルを持たないgMSAのような管理されたアカウントでは動作しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)は平文パスワードの埋め込みリスクに対する本記事の推奨です。実行アカウント自体に接続先の権限を与え、gMSAでパスワード管理をOSに任せることが最優先の現実解になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はActive Directory(AD DS)を前提とします。gMSAはドメインの管理されたアカウントであり、Active Directoryのドメイン機能を前提とする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• タスクスケジューラの無人実行はgMSA(group Managed Service Account)を利用します。gMSAを実行アカウントに選ぶ場合、Windowsサービスだけでなくタスクスケジューラのタスクの実行アカウントにも使える / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• マネージドIDは平文パスワードの埋め込みリスクに対する本記事の推奨です。クラウド資源への接続は、キーの保存よりマネージドIDの利用を優先すべきとされる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• マネージドIDはMicrosoft Entra IDを前提とします。マネージドIDはEntra ID上のIDを使ってトークンを取得し、資格情報を管理せずに認証する仕組み / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 平文パスワードの埋め込みリスクはログ・トランスクリプトへの資格情報の漏えいの原因になることがあります。スクリプトに平文で書かれたパスワードは、コマンドラインや変数として扱われた時点でスクリプトブロックログやトランスクリプトにそのまま記録されうるため、ログへの資格情報漏えいにつながる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• スクリプトブロックログはログ・トランスクリプトへの資格情報の漏えいの原因になることがあります。スクリプトブロックログを有効にすると、処理したスクリプトブロックの内容がイベントログに記録され、資格情報などの機微データが含まれうる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 保護されたイベントログ(Protected Event Logging)はログ・トランスクリプトへの資格情報の漏えいを軽減します。保護されたイベントログは、対象のログ内容をCMSの公開鍵で暗号化して書き込み、秘密鍵を持つ安全な場所でだけ復号できるようにする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 平文パスワードの埋め込みリスクはPSScriptAnalyzerで確認できます。スクリプト内の平文からConvertTo-SecureStringへ変換する書き方は、PSScriptAnalyzerの静的解析でエラーとして検出できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PowerShellはSecureStringを利用します。PowerShellはGet-CredentialやSecretManagementなど標準の道具でSecureStringを前提としており、平文文字列で持ち回るよりは露出が減る / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Azure Key Vaultは平文パスワードの埋め込みリスクに対する本記事の推奨です。クラウド資源・複数サーバーで共有する秘密は、マシン局所のDPAPIでは共有できないため、Azure Key Vaultのような専用ボールトに保存する / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

PowerShell

オブジェクトパイプラインとエラー処理機構を持つ、Microsoftが最も堅牢で最新のWindows自動化に推奨するコマンドラインシェル兼スクリプト言語。

平文パスワードの埋め込みリスク

パスワードをスクリプトに平文で書くことで、Git履歴・共有フォルダ・ログなどコピーが生まれる経路すべてが漏えい経路になる問題。

Get-Credential

ユーザー名とパスワードの入力を促し、PSCredentialオブジェクトを返すコマンドレット。

PSCredential

ユーザー名とSecureStringのパスワードをひとまとめにした.NET/PowerShellの資格情報オブジェクト。

Export-Clixml(資格情報ファイル)

資格情報などのオブジェクトをXMLファイルへ保存するコマンドレット。Windowsでは保存内容がDPAPIで暗号化され、保存したユーザー・マシンでしか復号できない。

タスクスケジューラの無人実行

指定したアカウントで、スケジュールやログオンなどのトリガーに従いプログラムを実行するWindowsの仕組み。ログオン種別(対話トークン・パスワード保存・S4Uなど)の設定によっては、ユーザーがログオンしていなくても実行できる。

SecretManagementモジュール

秘密の保管場所(ボールト)への統一インターフェースを提供するPowerShellモジュール。実際の保存は拡張ボールトが担う。

SecretStoreモジュール

ローカルファイルに暗号化保存するMicrosoft製の拡張ボールト。SecretManagementの既定のボールト実装として使われる。

gMSA(group Managed Service Account)

パスワードの自動生成・自動更新とSPN管理の簡素化を提供するActive Directoryドメインのサービスアカウント。ドメインコントローラー側のKDSルートキーの準備を前提とする。

マネージドID

Azure上のリソースに割り当てたEntra ID上のIDを使い、資格情報を保存せずにトークンを取得して認証する仕組み。

スクリプトブロックログ

PowerShellが処理する全スクリプトブロックの内容をイベントログに記録する機能。

保護されたイベントログ(Protected Event Logging)

対象のイベントログの内容をCMS(暗号メッセージ構文)の公開鍵で暗号化して書き込み、秘密鍵を持つ場所でだけ復号できるようにする仕組み。

Azure Key Vault

秘密情報を安全に保管できるAzureのシークレット管理サービスで、Power Automateの資格情報の保管先として設定できる。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。