こんにちは。CData Software Japan の杉本です。

先日リリースされたCData Arc 2026.Q4 アップデート（v26.4）では、Vault が「外部 Vault プロバイダー」に対応しました。本記事では、この「外部 Vault プロバイダー」の概要をご紹介します。

CData Arc の Vault は、パスワードや API キー、接続先 URL などを一か所に登録しておき、各コネクタから参照できる機能です。同じ値を複数のコネクタに入力する手間が省け、値を変更するときも Vault を 1 か所直すだけで済みます。

これまでの Vault は、Arc の中に値を保存する「ローカル Vault」だけでした。そのため、社内のシークレットを Azure Key Vault などで一元管理している場合でも、同じ値を Arc にも登録する必要がありました。v26.4 では、ローカル Vault に加えて、次の 2 つから Vault アイテムを取得できます。

• Azure Key Vault（Enterprise ライセンスのみ）

• Arc を動かしているホストの環境変数

この記事では、2 つのプロバイダーの設定方法と、コネクタや ArcScript からの使い方を紹介します。

v26.4 の Vault で変わったこと

まず、全体の考え方を整理します。

• Vault プロバイダーは、Vault アイテムの値をどこから取得するかを決めるものです。

• 外部プロバイダーは読み取り専用です。すでにあるシークレットを、Arc に重複して登録せずに使えます。

• 外部プロバイダーのアイテムは、ローカルのアイテムと同じ Vault の一覧に表示されます。一覧の「プロバイダー」列で、どこから来たアイテムかがわかります。一覧上部のプロバイダーフィルタで絞り込むこともできます。

外部プロバイダーのアイテムは、Arc の画面から編集や削除ができません。カーソルを合わせると、外部の Vault プロバイダーが管理しているため編集できない旨のツールチップが表示されます。値の追加や変更、削除は、Azure Key Vault や OS の環境変数など、元のシステムで行ってください。

プロバイダーの設定は、Settings > Vault タブの「Vault プロバイダー設定」から行います。ペインを開くと、設定済みのプロバイダーが名前と種類つきで一覧表示されます。先頭の行は「ローカル」です。

Azure Key Vault プロバイダー

Azure Key Vault に保存したシークレットを、Arc の Vault アイテムとして使えます。Enterprise ライセンスでのみ利用できます。

Azure 側の準備

Arc は、Microsoft Entra ID に登録したアプリケーション（サービスプリンシパル）の資格情報で Key Vault に接続します。事前に次の準備をしてください。

1. Key Vault を作成し、概要ページの「コンテナーの URI」（https://<コンテナー名>.vault.azure.net/ の形式）を控えます。

2. Microsoft Entra 管理センターの「アプリの登録」で、Arc 用のアプリケーションを登録します。概要ページの「アプリケーション（クライアント）ID」と「ディレクトリ（テナント）ID」を控えます。

3. 「証明書とシークレット」で新しいクライアントシークレットを作成し、表示された「値」を控えます。値は作成直後にしか表示されません。「シークレット ID」ではなく「値」を使う点に注意してください。

4. Key Vault の「アクセス制御（IAM）」で、登録したアプリケーションに「キー コンテナー シークレット ユーザー」ロールを割り当てます。

ひとつ注意があります。RBAC モードの Key Vault では、サブスクリプションの所有者でも、データプレーンのロール（キー コンテナー シークレット責任者など）がなければシークレットを作成・閲覧できません。ポータルで「この操作は RBAC で許可されていません」と表示された場合は、ご自身のアカウントにもロールを割り当ててください。

Arc 側の設定

1. Settings > Vault を開き、「Vault プロバイダー設定」をクリックします。

2. 「追加 > Azure Key Vault」をクリックします。

3. 次の項目を入力します。

• 名前：このプロバイダーの表示名です。一意である必要があります。ArcScript でプロバイダーを指定するときにも、この名前を使います。

• Vault URI：手順 1 で控えたコンテナーの URI です。作成後は変更できません。

• アプリケーション ID：手順 2 で控えたクライアント ID です。

• クライアントシークレット：手順 3 で控えた「値」です。

• ディレクトリ ID：手順 2 で控えたテナント ID です。

4. 「追加およびテスト」をクリックします。プロバイダーが保存され、接続が確認されます。

接続に成功すると、Key Vault 内のすべてのシークレットが Vault の一覧に表示されます。種類はすべて Encrypted（暗号化）になります。

Azure Key Vault プロバイダーは複数登録できます。たとえば、開発用と本番用で別々の Key Vault を参照するといった使い方ができます。

運用のポイント

クライアントシークレットには有効期限があります。期限が切れると Arc から Key Vault に接続できなくなるため、更新の予定を決めておき、期限前に新しいシークレットを Arc の設定に反映してください。

環境変数プロバイダー

Arc を動かしているホストの環境変数を、Vault アイテムとして使えます。追加のインフラは不要です。コンテナーで Arc を動かしていて、シークレットを環境変数で渡している場合などに便利です。

設定方法

1. 「Vault プロバイダー設定」で「追加 > 環境変数」をクリックします。名前と種類は自動で設定されます。

2. 「含まれるパターン」で、使うパターンのチェックボックスをオンにし、標準パターン、暗号化パターン、またはその両方に、少なくとも 1 つのパターンを入力します。ワイルドカード（* と ?）を使ったパターンや変数名を、カンマ区切りで指定できます。

3. 「追加」をクリックして保存します。

環境変数プロバイダーは1 つだけ追加できます。

コネクタでの使い方

使い方はローカル Vault と同じです。コネクタの設定項目で鍵マークをクリックすると、その項目で使える Vault アイテムが一覧表示されます。一覧には、すべてのプロバイダーのアイテムが、提供元のプロバイダーと一緒に表示されます。使いたいアイテムを選ぶだけです。

Standard と Encrypted の区別も、これまでと同じです。パスワード項目には Encrypted のアイテム、それ以外の項目には Standard のアイテムが表示されます。Azure Key Vault のシークレットはすべて Encrypted なので、パスワードやクライアントシークレットなどの項目で使います。

ArcScript での使い方

ArcScript では、vault() ファンクションで Vault アイテムの値を取得します。v26.4 では、3 つ目の引数としてプロバイダー名を指定できるようになりました。

vault(ItemName, [ifnotexists], [provider])

• ItemName：取得するアイテムの名前です。

• ifnotexists：アイテムが見つからないときに返す値です。省略すると、見つからないときはエラーになります。

• provider：読み取り元のプロバイダーの表示名です。大文字と小文字は区別しません。ローカル Vault の名前は Local です。

記述例です。

<!-- 名前だけで取得（一般的な書き方） -->
<arc:set attr="baseUrl" value="[Vault(CFG_BASE_URL)]" />

<!-- プロバイダーを指定して取得（ifnotexists は省略） -->
<arc:set attr="apiKey" value="[Vault(apiKey, , AzureKV)]" />

まとめ

CData Arc v26.4 では、Vault が外部シークレットプロバイダーに対応しました。

• Azure Key Vault（Enterprise ライセンス）：Key Vault のシークレットを、すべて Encrypted のアイテムとして参照できます。複数の Key Vault を登録できます。

• 環境変数：ホストの環境変数を、パターンで選んで Standard または Encrypted のアイテムとして参照できます。

• 外部プロバイダーは読み取り専用です。値の管理は元のシステムで行います。

• コネクタからは鍵マークで、ArcScript からは vault() で使えます。vault() ではプロバイダー名も指定できます。

シークレットを Arc の外で管理できるようになり、既存のセキュリティ運用に Arc を組み込みやすくなりました。v26.4 へのアップデートの際は、ぜひお試しください。

この記事では CData Arc 2026 - 26.4.9792 を利用しています