AIエージェントへの認証情報の安全な渡し方：1Password試行とIAMロール活用

概要¶

AIエージェントをローカル環境で動かす際に認証情報（APIキー・AWSクレデンシャル等）をどう安全に渡すかを検討した記録。1Password を試した後、用途によって使い分けに着地。

ブログ記事: https://blog.takuros.net （「AIエージェントに認証情報を安全に渡したい：1Passwordで試して、用途で使い分けに着地した話」）

AIエージェント（Claude Code、Codex CLIなど）をローカルで動かすとき、ツールにAPIキーや AWS クレデンシャルを渡す必要がある。平文の .env や ~/.aws/credentials に書いておくのはセキュリティリスクがある。

1Password には 1Password CLI (op) があり、シークレットを直接シェルに渡すことができる。

# op run でシークレットを環境変数として注入
op run --env-file=.env.tpl -- claude

.env.tpl にはシークレット参照だけ書き、実際の値は 1Password Vault から取得する形式。

用途	方式
ローカル開発	1Password CLI でシークレット注入
クラウド環境	AWS IAM ロール + ハーネスエンジニアリング

著者のコメント：「極論すると、AWS上にIAMロールを使ってハーネスエンジニアリングに基づいて環境を作った方がよっぽど早い。クラウドが危険じゃなくて、クラウドの方が安全の時代」