0

質問1
レンタルサーバで環境変数の利用は一般的ではないのでしょうか?
環境変数を使用したい場合、VPSやAWSなどのクラウドを使う方がセキュアに運用できそうでしょうか?

調査した事1
某レンタルサーバさんのサポートに問い合わせたところサポート対象外との回答をいただきました。

調査した事2
「レンタルサーバ 環境変数 設定」などのワードで検索してみたところ
レンタルサーバで環境変数を設定する方法が公式で説明されているものはなく、解説記事も少なかったので今回の質問に至りました。

実現したいこと
GoogleのPlaces APIを使用してマップ内に動的にピンを複数打ちたいと考えています。
その際に使用するAPIキーの保存場所を検討しているところです。

不足情報がありましたら可能な限り補足させていただきます。
よろしくお願い致します。

またもしレンタルサーバで環境変数を使用しながら
運用しているという方もいらっしゃいましたらぜひその方法をご教授いただけましたら幸いです。

2
  • 5
    そもそも質問者さんは「環境変数」をどういうものだとお考えでしょうか? 質問文を読む限り、レンタルサーバーは何も関係なく、そもそも「環境変数」を正しく認識できていないのだと思います。
    – sayuri
    2022年9月23日 9:34
  • コメントありがとうございます。環境変数はOSで使える変数という理解でした。おっしゃる通り正しく認識できておりませんでした。いただいた参考リンクを元に勉強させていただきます。 2022年9月24日 2:35

2 件の回答 2

5

いわゆるレンタルサーバー(Webホスティングサービスの一種であり、共有サーバーとも言われる)では、一つのWebサーバーアプリ(Apache HTTP Serverやnginx)上で独立した複数のユーザーのサイトを動かしています。それぞれのユーザーのサイトはお互いに見えず、実行環境もsuEXEC等の技術でそのユーザーの権限に落とし込んだり、chrootで隔離されたりしていますが、もともとは一つのWebサーバーアプリからフォークして実行されます。

通常、環境変数を渡すとなると、大本のプロセス、つまり、systemdのユニットファイルでEnvironmentを設定する等でWebサーバーアプリに渡します。しかし、Webサーバーアプリは一つしか無いため、一人のユーザーのために環境変数を設定したら、それは全てのユーザーと共有されてしまいます。これは、ユーザー毎に独立した環境を提供するレンタルサーバーとしては、一種のセキュリティホールになってしまいます。また、ユーザー同士で設定したい環境変数が重複した場合、どちらを優先するかで揉めることになるでしょう。

では、どうやってもできないかというと、そうではありません。Apache HTTP Serverであれば、SetEnvディレクティブというのがあります。これは任意の環境変数を設定できるというもので、サーバー全体だけでは無く、ホスト毎やディレクトリ毎に設定できます。先程の問題はWebサーバーアプリに環境変数を設定すると全ユーザー共通になってしまうと言うことでした。ですが、これであれば、サイト(バーチャルホスト)毎やディレクトリ毎に任意の環境変数を設定できそうです。しかし、まだ問題があります。これらはApache HTTP Serverの設定になるのですが、それをユーザーに変更させるのは難しいですし、変更の度にサービス再起動する必要があるのも問題です。

まだ、諦めないで下さい。なんと、SetEnv.htaccessでも使用できます。.htaccessはユーザー毎、もっと正確に言えば、公開するディレクトリ毎に設定できます。プログラムが置いてあるところのディレクトリに.htaccessを置いて、そこにSetEnvを使えば、任意の環境変数を使えると言うことです。これなら、ユーザーは自分の領域で自由に設定できますし、サービス再起動などの面倒な事も不要になります。ただ一つ問題があるとすれば、.htaccessは使用できるディレクティブを制限している場合があると言うことです。(.htaccessで使用できるディレクティブはApache HTTP Serverの設定で制限できます)


前置きが長くなりました。次の条件を満たすレンタルサーバーであれば、環境変数は使えます。

  • .htaccessが使用できる。
  • .htaccessでのSetEnvディレクティブの使用が許可されている。

これがXserverや他のレンタルサーバーで使えるかどうかと言うとわかりません。Xserverは.htaccessを使用できるようですが、どのディレクティブが使えるかどうかの情報はありませんでした。実際に設定してみて試して見るしか無いと思われます。


ここまで来て、一つ注意点があります。なぜ、APIキーは環境変数に設定すべきかと言うことです。プログラム全体をGitHubなどのレポジトリで管理している場合、コードの中にAPIキーを入れているとそれもレポジトリに上がってしまいます。それがもしパブリックなレポジトリであったら、APIキーを世界中に公開されてしまうということです。公開されたAPIキーはあっという間に悪用されます。そうなれば、良くてアカウントBAN、サービスによっては数百万円の使用料請求と洒落にならない事態に陥ります。

先程、.htaccessSetEnvを使用すればいいと書きました。ちょっと待ってください。その.htaccessは誰にも見られるような事になっていないでしょうか?ほとんどのサーバーでは.htaccessへのアクセスは制限がかかっていますが、必ずしもそうとは限りません。自分でちゃんとアクセスできないように設定する必要があるかも知れません。もう一つは、.htaccessはプログラムと同じ所に置かれるので、先程言ったレポジトリでの管理の場合、一緒に公開してしまう場合があるということです。.htaccessにrewrite等の設定を入れている場合、一緒に管理したくなるでしょう。そのような場合で、.htaccessの中にAPIキーを埋め込むのはいい方法とは言えません。

何を言いたいかというと、「APIキーは環境変数に入れれば安全」と思考停止しないでください。 環境変数の設定場所が公開されれば環境変数であっても危険です。 大事なのは、APIキーが書かれている場所が絶対に公開されないようにすることです。一般に、プロセス自体の環境変数で設定する場合は、ソースツリーとは別の場所になるから、環境変数だと安全な場合が多いと言うだけです。レポジトリの除外対象になっている設定ファイルに書く、DBに保存する等、ソースツリー上には現れない物であれば十分だと言うことです。

5
  • 詳細なご説明ありがとうございます。おかげで理解が進んだと思います。 『>もともとは一つのWebサーバーアプリからフォークして実行されます。』 こちらの理解が足りておりませんでした。わかりやすいご説明ありがとうございます。 以下自分なりに理解したことを書いてみます。 ・環境変数とはOSが動いている時に使用できる変数のこと。走っているプロセスに対して設定することもできる。 ・レンタルサーバでは複数ユーザーが動かしているため環境変数も共有されたりバッティングのリスクがある。 ・ApacheのSetEnvを使用することでホスト毎、ディレクトリ毎に限定してOSの環境変数を.htaccessファイルから設定できる。 ・注意点としてGitHubなどのプロジェクト管理ディレクトリに含めると公開してしまうリスクがあるのでリポジトリには含めないようにする。 2022年9月24日 2:38
  • 『>「APIキーは環境変数に入れれば安全」と思考停止しないでください。 環境変数の設定場所が公開されれば環境変数であっても危険です。 』 こちらもご指摘ありがとうございます。確かに油断しているとリスクはありそうですね。流出した事例やベストプラクティス的な例があれば参考にしたいのですがAPIキーに関してはアンチパターンやベストプラクティスのようなものが一概には言えなかったり、セキュリティに関わるので公に書きにくかったりするのかなと予想しました。もし書籍やサイトでアンチパターンやベストプラクティスのようなものがあれば教えていただければ嬉しいです。 2022年9月24日 2:40
  • いただいた情報を元に思いついた方法を書いてみます。 本番サーバ上の公開ディレクトリより上の階層にディレクトリAを作成。 (これによりgitのリポジトリには含まれなくなるようにします。 更新時にはFTPで個別にアップロード、更新します。) .htaccessファイルでSetEnvを記述してアプリ内から読み出します。 さらに.htaccessファイルを暗号化してアプリ内で複合化するなどの仕組みが実現可能かどうかを現在調査しております。 自分のローカルDocker環境でテストしたところ上記の方法でディレクトリトラバーサルも行ってみましたがアクセスはできませんでした。 example.com/?file=/../.htaccess トップページが表示される example.com/../.htaccess 403になる もしお時間がありましたら認識の違いなどご指摘いただければ幸いです。 2022年9月24日 2:40
  • この回答はレンタルサーバーについての一般論を述べたに過ぎません(APIキーの話はおまけ程度の蛇足です)。具体的な構成になると、全体構成を含めてコメントでやり取りしないと難しいと思います。実際の構成で聞きたいことがあるのであれば、別の質問にして頂いた方が回答がつくかと思います。
    – raccy
    2022年9月25日 0:37
  • コメントありがとうございます。また重ねての質問大変失礼いたしました。また改めて疑問点が出てきましたら質問を立てさせていただきます。この度は詳細なご説明ありがとうございました。 2022年9月25日 3:58
3

コメントにも書きましたが、そもそも環境変数を理解できていないと思われます。まずはWikipediaの環境変数プロセスを参照し理解することをお勧めします。

環境変数はオペレーティングシステム が提供するデータ共有機能の一つ。OS上で動作するプロセスがデータを共有するための仕組みである。特にタスクに対して外部からデータを与え、タスクの挙動・設定を変更するために用いる。

環境は、親プロセスから子プロセスに複製されて継承される。 すなわち、子プロセスで環境を変更しない限り、子プロセスの環境は親プロセスのそれと同一の内容である。 また、子プロセスが自分の環境に対して行った変更は、親プロセスの環境に影響しない。

つまり、環境変数はOS・プロセスで標準的に提供される機能であり、レンタルサーバーで利用可否が変わるものではありません

検索しても見つけることができないのは、あまりに基本的過ぎる内容なため、そんなこと知っているわと読み飛ばしてしまっただけでしょう。上で引用したようにWikipedia等で調べればきちんと説明されており、見つけることができたはずです。


個々のプロセスに対して環境変数の設定方法はさまざまで、プロセスを実行しているプログラムに依存します。
例えばraccyさんの回答にもありますが、Apache Http ServerであればSetEnvディレクティブで行えます。またタグ指定されているphpであればputenv関数で行えます。

1
  • 参考リンクありがとうございます。 おっしゃる通り理解できていなかったのだと思います。 色々調べているうちに環境変数はApacheやPHPも独自に持っているのか?などとも考えてしまいました^^: >Wikipedia等で調べればきちんと説明されており、見つけることができたはずです。 確かにご指摘の通り読み飛ばしていたか、検索の仕方が悪かったのだと思います。 改めてWikipedia見てみましたがやはり全て理解できてはいないので手を動かしながら少しずつ理解を深めていきたいと思います。 ご指摘、参考リンクありがとうございました。 2022年9月24日 2:36

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。