APIキーの棚卸し手順｜「誰の手元に何本あるか」を確定する

API キーの棚卸しは、プロバイダ側の実態の一覧を集め、台帳と突き合わせ、差分の持ち主を確定して、不要なキーを失効する作業です。手順は 6 ステップ。初回は数日かかりますが、2 回目以降は月 1〜2 時間で回るようになります。

棚卸しの目的は「誰の手元に何本あるか」を確定することです。この記事では、各ステップのやり方と、つまずきやすい点を説明します。API キー管理の全体像は「生成AI APIキー管理 完全ガイド」を参照してください。

棚卸しの全体像——6 ステップ

ステップ 1: 対象の経路を洗い出す

最初に、会社として契約している生成AI API の経路をすべて挙げます。キーの一覧は経路ごとに別の場所にあるため、経路の漏れはそのままキーの漏れになります。

• OpenAI の組織（複数ある場合はすべて）
• Azure のサブスクリプションと、その中の Azure OpenAI リソース
• Anthropic（Claude）の組織
• AWS アカウント（Bedrock を使っているもの）
• Google Cloud のプロジェクト（Vertex AI を使っているもの）

見落としやすいのは、部署が独自にクレジットカードで契約した経路です。経理に「生成AI 関連の支払い」を照会すると見つかることがあります。会社のカードで個人名義のアカウントが契約されている場合もあるため、支払い明細から逆にたどるのが確実です。

ステップ 2: プロバイダごとにキーの一覧を集める

経路ごとに、管理画面から現在有効なキー（またはそれに相当する単位）の一覧を取ります。

管理画面の表示項目は各社の更新で変わることがあります。一覧を取った日付を必ず控えておきます。

Azure OpenAI・AWS Bedrock・Google Vertex AI は、利用者ごとのキーという概念がなく、リソースやアカウントの権限で利用を管理します。この 3 経路は「キーの本数」ではなく「どのデプロイメント（モデル）を、どのチームが使っているか」を棚卸しの単位にします。

ステップ 3: 台帳と突き合わせる

実態の一覧と台帳を並べ、差分を 2 種類に分けます。

突き合わせのキーは、キー名と識別子（末尾数桁など）です。台帳にキー名しか書いていないと、同じ名前のキーが複数あるときに区別できません。

ステップ 4: 持ち主不明のキーを特定する

台帳にないキーの持ち主は、次の順で当たります。

1. 作成者の表示を見る: OpenAI や Claude の管理画面では、キーの作成者が分かる場合がある
2. キー名から推測する: 命名規則がなくても、システム名や個人名が入っていることが多い
3. 使われ方から推測する: どのモデルを、どの時間帯に、どれだけ使っているかで用途の見当がつく（夜間に一定量なら定期バッチ、平日日中なら人が使うツール）
4. 関係しそうな部署に照会する: 開発部門、DX 推進部門、利用が多い部署の順

3 の「使われ方から推測する」には、キーごとの利用量が必要です。プロバイダの利用量画面でキー別に絞り込めれば、手がかりが一気に増えます。

期限（例: 2 週間）を切っても持ち主が分からないキーは、失効してよいと事前に決めておきます。本当に使われていれば、失効後に持ち主から連絡が来ます。業務影響が心配な場合は、失効の前に社内へ「この名前のキーを◯日に失効します」と告知します。

ステップ 5: 使われていないキーを判断する

持ち主が分かっていても、使われていないキーは失効候補です。判断の目安は次のとおりです。

「使っていない」の判断にも、キーごとの利用量が要ります。最終使用日しか分からない場合でも、30 日の基準で候補を挙げるには十分です。

ステップ 6: 失効し、台帳を更新する

失効は、プロバイダの管理画面で行います。失効したら、台帳の状態を「失効済み」にし、行は削除せずに残します。過去のキーの持ち主が後から分かると、請求の説明や監査で役に立ちます。

失効後 1〜2 日は、失効したキーを使っていたシステムからエラーの問い合わせが来ないかを見ておきます。問い合わせが来たら、持ち主を台帳に記録したうえで、新しいキーを発行し直します。

初回と 2 回目以降の違い

初回で大変なのは、持ち主不明のキーの照会です。2 回目以降は「先月から増えたキー」と「先月から使われなくなったキー」だけを見ればよいので、作業は差分の確認に変わります。

棚卸しを楽にする工夫

• 月次の費用確認と同じ場で行う: 費用が大きいキーから順に見れば、限られた時間で効果の大きい所から確認できる
• 命名規則を決める: 名前から部署と用途が分かれば、照会の件数が減る
• キーの一覧を自動で集める: ステップ 2 の手作業がなくなり、ステップ 3 の突き合わせも「台帳に未割当のキー」を見るだけになる
• キーごとの利用量を見られるようにする: ステップ 4・5 の判断材料が揃う

よくある質問

Q. 棚卸しは誰が担当すべきですか？ 取りまとめは情シス、照会への回答は各部署の担当者、と分けます。経理の担当者にも月次の場に入ってもらうと、支払い明細から新しい経路が見つかったときにすぐ共有できます。

Q. 持ち主不明のキーを失効して、業務が止まったら？ 失効の前に社内へ告知し、期限を切っていれば、止まったシステムの持ち主はすぐに名乗り出ます。新しいキーを発行し直して台帳に載せれば、持ち主の確定という棚卸しの目的は達成されます。影響が大きい本番システムの可能性がある場合は、失効の前に利用量の時間帯やモデルから用途を推測し、関係しそうな部署へ個別に確認します。

まとめ

• 棚卸しは、経路の洗い出し → 一覧の収集 → 突き合わせ → 持ち主の特定 → 未使用の判断 → 失効の 6 ステップ
• 経路の漏れがキーの漏れになる。部署独自の契約は経理の支払い明細からたどる
• Azure・Bedrock・Vertex AI は「キーの本数」ではなく、デプロイメント・モデルとチームの対応を棚卸しする
• 持ち主不明のキーは期限を切って失効してよいと、事前に決めておく
• 初回は数日、2 回目以降は差分だけを見て月 1〜2 時間

ManageAI は、収集で見つかったキー（疑似キーを含む）を自動で一覧に載せ、部署や利用者に割り当てられていないキーを「未割当」として件数と費用で示します。キーごとの利用量も見られるため、棚卸しの突き合わせと持ち主の特定が短時間で済みます。モニター企業を募集中です。

関連記事

• 生成AI APIキー管理 完全ガイド｜台帳・権限・ローテーション・費用の紐づけ
• APIキー管理の基本｜発行・保管・棚卸し・失効の4工程
• APIキー台帳テンプレート｜Excelで始める最小構成

次に読む

• ManageAIの月次レビューで何をするか