Backlog API認証情報の安全な設定・保存方法を決定する

[igapyon]

概要

Backlog APIへの接続に必要な認証情報について、安全な設定方法と保存場所を確認し、このプロダクトの標準運用を決定します。

現在の実装では、次の環境変数を実行環境から受け取ります。

• BACKLOG_DOMAIN
• BACKLOG_API_KEY
• 上流が対応する複数組織向け環境変数

認証情報はリポジトリ、配布物、実行結果へ保存または出力しない方針です。

確認事項

• Backlog APIまたは上流backlog-mcp-serverが推奨する認証情報の設定方法
• Agent Skill実行環境で利用できる安全な秘密情報管理方法
• 環境変数を標準方式として継続するか
• 複数のBacklog組織を利用する場合の設定方法
• ログ、診断情報、エラーにAPIキーが出力されないこと
• workplace/や生成物へ認証情報が保存されないこと
• ローカル開発、CI、利用者環境それぞれの設定手順
• APIキーの更新・失効時の運用方法
• ローカル.envを採用するか
• .envを採用する場合の読み込み方法とファイル権限
• .envおよびローカル派生ファイルを.gitignoreへ明記する方法
• 秘密情報を含まない.envの雛形を提供するか

セキュリティ要件

• APIキーをGit管理対象へ含めない
• APIキーをSkill bundleや配布ZIPへ含めない
• APIキーを標準出力、標準エラー、ログへ表示しない
• 実際の認証情報を使用する検証は、ユーザーの明示許可を得て行う

完了条件

• 推奨する設定・保存方法を決定する
• READMEまたはセットアップ資料へ安全な設定手順を記載する
• 認証情報が出力・保存されないことをテストする
• 複数組織を含む設定方法と制約を文書化する
• .envの採否と、採用時の誤commit防止策を文書化する