APIの認証情報の扱い方

Question

###状況

• APIを使ったスクリプトを作ろうとしている。
• Githubなどに公開することは考えているが、基本的には一人で使う。

###しりたいこと

• APIを使うには認証が必要になると思うのですが、その際のAPIキーなどの認証情報はどのようにスクリプトに組み込むのがベストでしょうか？
• ローカルで動かす分には特に気にしなくて大丈夫でしょうか？

###思いついた候補

1. 単純にスクリプトにハードコード。
2. 別ファイルに認証情報だけを記入し読み込む。
3. 実行時にコマンドライン引数で渡す。

１と２は根本的には同じでしょうし、３はちょっとめんどくさい気もします。

セキュリティ的なことや普通はどうするかなどを知りたいと思っています。よろしくお願いします。

Answer 1

一番良くある手法としては、環境変数にいれてスクリプトからアクセスする方法です。
例えば、AWSのAPIを使用する場合は 認証キーとシークレットが必要となりますが、

• AWS_ACCESS_KEY_ID: xxxxxx
• AWS_SECRET_ACCESS_KEY: yyyyyy

と環境変数にいれておくと、JavaScriptなどでアクセスする際には
以下のようにスクリプトを書くことが出来ます
(何の言語使用されているかわからなかったので、一応JavaScriptで書いています)

let key_id = process.env.AWS_ACCESS_KEY_ID;
let access_key = process.env.AWS_SECRET_ACCESS_KEY;

こうしておくと、ローカル/検証/本番の各環境で違う認証情報が必要だとしても、同じソースコードで完結するので便利です。

また、毎度ローカルで環境変数を設定するのが面倒な場合は、「dotenv(ドットエンブ)」というスクリプト実行時にローカルで環境変数を自動設定してくれるツールが各言語で用意されているので、使用をおすすめします。
下記はdotenv使用した時のサンプルコードです。

.env

AWS_ACCESS_KEY_ID=xxxxxx
AWS_SECRET_ACCESS_KEY=yyyyyy

main.js

const AWS = require('aws-sdk');
const dotenv = require('dotenv');

dotenv.config({path: './.env'});

let key_id = process.env.AWS_ACCESS_KEY_ID;
let access_key = process.env.AWS_SECRET_ACCESS_KEY;

AWS.config.update({
  accessKeyId: key_id,
  secretAccessKey: access_key
});

参照: https://www.npmjs.com/package/dotenv

Comments

[akamakku]

環境変数を使うという方法もあるんですね！

Answer 2

別ファイルに認証情報を置くのでいいんじゃないでしょうか。
起動時に認証情報ファイルがなかったらコマンドラインで認証情報入力させてトークンなりファイルに保存するようにするとか。
私の場合は簡単に動作テストする時は大体直接書いちゃいますけどね。
基本的に1人で使うのなら直接書いてしまっていいとも思います。
Guthubにあげる時は認証情報を消しておいて
ここに認証情報を入れてね！！みたいなコメントをしておくとか。