Credential Brokerは、CI/CDのパイプラインやAIエージェントのような自動で動く処理に、その実行の間だけクレデンシャルを渡す製品です。処理の身元を実行時に確かめ、許された範囲のシークレットだけを渡すため、長期間有効なトークンをパイプラインの設定に置かずに済みます。2026年9月時点では、Enterprise Password Managerの契約者に向けて公開プレビューとして提供されています。このページでは、解決する問題、仕組み、管理者が設定すること、サービスアカウントとの使い分け、検討のときに確かめること、本ガイドで扱う範囲を説明します。
解決する問題
自動で動く処理がクラウドやSaaSにつなぐには、クレデンシャルが要ります。従来は、APIのトークンやサービスアカウントのトークンを、CIのシークレットや環境変数として登録しておく方法が一般的でした。この方法では、トークンは処理が動いていない間も有効なまま置かれ、漏れれば誰でも使えます。どの処理がいつ使ったかも残りにくく、退職や異動で管理者が替わると、誰が登録したトークンなのかも分からなくなります。
Credential Brokerは、処理の側に長期間有効なトークンを持たせない形に変えます。処理は実行のたびに自分の身元を証明し、その実行に許されたシークレットだけを受け取ります。
仕組み
身元の証明には、CIの基盤が発行するOpenID Connect（OIDC）のトークンを使います。GitHub Actionsであれば、実行中のジョブがどの組織のどのワークフローかを示すトークンを、GitHubが発行します。1Password側は、このトークンが管理者の決めた条件に合うかを確かめてから、シークレットを渡します。この方式はワークロードIDフェデレーションと呼ばれます。
渡すシークレットは、Enterprise Password Managerの環境に保存したものです。環境は、.envファイルに書いていた変数のまとまりを保管庫で管理する機能で、エンジニアが自分の環境を処理に結び付けます。シークレットを受け取れるのはその実行の間だけで、渡すたびに監査ログに記録されます。
シークレットは2つの鍵で暗号化されています。1つは組織が持つ統合キー、もう1つは1Password社のコンフィデンシャルコンピューティングのエンクレーブの中にある鍵です。復号には両方が要るため、どちらか一方だけではシークレットを読めません。
管理者が設定すること
管理者は、管理コンソールの開発者にあるエージェントとワークロードのタブで統合を作ります。統合は、どこで動く処理にシークレットを渡していいかを決める信頼の条件です。エンジニアは、管理者が作った統合を選んで自分の環境を処理に結び付けます。
GitHub Actions
統合の名前と、つなぐGitHubの組織の名前を入れて作ります。その組織のワークフローだけがシークレットを受け取れるようになります。
独自のOIDC
GitLabのCI/CDのように、OIDCのトークンを発行できる基盤ならつなげます。発行元のURLを登録し、トークンに含まれる情報（プロジェクト、ブランチ、環境など）のうち、満たすべき条件を決めます。条件は全て一致したときだけ通るため、本番のシークレットを特定のブランチからの実行だけに絞る、といった制御ができます。
統合キーの保管
統合を作ると、統合キーが表示されます。これを1Passwordに保存したうえで、CIの側に組織のシークレットとして登録します。GitHubではOP_INTEGRATION_KEYという名前で登録します。
【注意】 統合を削除すると、その統合を使っている全てのワークフローが動かなくなります。統合の作成と削除を誰が行うか、統合キーをどの保管庫に保存するかを、運用を始める前に決めてください。統合キーだけではシークレットを読めませんが、CIの組織のシークレットを編集できる人の範囲もあわせて確かめておきます。
サービスアカウントとの使い分け
Enterprise Password Managerには、処理から保管庫を読むためのサービスアカウントもあります。両者は置き換えの関係ではなく、つなぐ先で使い分けます。
| 観点 | サービスアカウント | Credential Broker |
|---|---|---|
| 処理が持つもの | 長期間有効なトークン | 実行ごとのOIDCのトークン |
| 使える場所 | トークンを置ければどこでも | 対応するCIの基盤とOIDCを発行できる基盤 |
| 失効の単位 | アカウントごと | 実行ごと |
| 2026年9月時点の状況 | 提供中 | 公開プレビュー |
対応する基盤で動く処理から順にCredential Brokerへ移し、オンプレミスのサーバーのようにOIDCを使えない処理にはサービスアカウントを残す、という並べ方が現実的です。サービスアカウントの棚卸しは開発者向け機能の位置付けで扱います。
検討のときに確かめること
GitHub Actionsで使えるのは、GitHub.comに置かれた組織だけです。GitHub Enterprise Serverと、データレジデンシーを使うGitHub Enterprise Cloudの組織は、2026年9月時点で対象外です。GitHub Freeの組織では、非公開のリポジトリーのワークフローに使えません。社内のGitHubがどの形態かを、検討の最初に確かめてください。
公開プレビューの間は、機能や対応する基盤が変わる可能性があります。本番の重要なパイプラインに適用する時期は、正式な提供の時期と合わせて、正規販売代理店（デジタルアクセルズ）を通じて確かめてください。
本ガイドで扱う範囲
ワークフローの書き方と環境の結び付け方は、エンジニアが行う実装の手順で、本ガイドでは扱いません。<a href="https://www.1password.dev/brokered-access" target="_blank">1Passwordの開発者向けドキュメンテーションサイト</a>を参照してください。管理者が決める開発者向けのポリシーは開発者向け機能の位置付けで、端末に残った平文のシークレットの扱いは開発者のシークレットを見つけて是正するで扱います。