APIキー台帳の作り方｜項目テンプレートと運用ルール

API キー台帳は、「このキーは誰が、何のために、どの予算で使っているか」を 1 行で答えられる表です。必須の項目は、キーの識別子・プロバイダ・用途・利用者・部署・発行日・状態の 7 つ。これに失効予定日と備考を足せば、中堅企業の運用には十分です。

台帳づくりで難しいのは項目設計より、更新され続けることです。この記事では、管理項目の決め方と、台帳を形骸化させない運用ルールを説明します。すぐに使える最小構成の表は「APIキー台帳テンプレート｜Excelで始める最小構成」にまとめています。

API キー台帳の目的

台帳の目的は次の 3 つです。目的が決まると、必要な項目も決まります。

最初から 3 つの目的をすべて満たそうとすると項目が増え、記入の負担で更新が止まります。まずはセキュリティと費用の 2 つに絞り、監査の項目は必要になってから足すのが現実的です。

管理項目——必須 7 項目と任意項目

必須の 7 項目

任意の項目

書いてはいけない情報

台帳は多くの人が見る前提で作ります。次の情報は書きません。

• キーの本体: 秘密の文字列そのもの。表計算ファイルに書くと、ファイルの共有範囲がそのまま漏えい範囲になる
• 認証情報の一式: Azure のサービスプリンシパルのシークレットや、クラウドのアクセスキーのシークレット部分も同様
• プロンプトや業務データの中身: 用途は「何のシステムか」で足りる

識別子として書くのは、キー名とプロバイダの画面に表示される部分的な文字列までです。これだけあれば、プロバイダの管理画面と突き合わせられます。

プロバイダごとの「キー」の単位の違い

台帳の 1 行を何にするかは、プロバイダによって変わります。費用を見える単位が違うためです。

OpenAI と Claude は、API キーごとに利用量が見えるため、キーを利用者や部署に割り当てれば個人別・部署別の費用まで追えます。Azure OpenAI・AWS Bedrock・Google Vertex AI は、利用量が見えるのがデプロイメントやモデルの単位までなので、台帳の 1 行もその単位にするのが実態に合います。部署別に見たいなら、リソースやアカウント、プロジェクトを部署ごとに分けておきます。

更新のタイミングと担当

台帳が形骸化する最大の原因は、「更新のきっかけ」が決まっていないことです。

発行時の記入を徹底しても、記入漏れは必ず出ます。そのため月次の棚卸しで、プロバイダ側の実態から台帳を直す工程を必ず入れます。台帳は「申告で作るもの」ではなく「実態と突き合わせて直し続けるもの」と位置づけると、記入漏れがあっても破綻しません。

形骸化させないための運用ルール

1. 台帳の置き場所は 1 か所: 部署ごとに別の台帳を持たない。経路をまたいで 1 つにする
2. 失効済みの行も残す: 過去のキーの持ち主が後から分かると、請求の説明や監査に使える
3. 「持ち主不明」を行として残す: 棚卸しで見つかった不明キーは、判明するまで「不明」で登録し、期限を切って失効を判断する
4. 月次の費用確認と同じ場で見直す: 費用が大きいキーから確認すれば、限られた時間で効果の大きい所から直せる
5. 台帳の変更履歴を残す: 表計算ファイルなら版の履歴、変更者が分かる共有方法を選ぶ

台帳だけでは足りない点

手作業の台帳には限界があります。

• 台帳にないキーは台帳からは見つからない: 見つけるにはプロバイダ側の一覧と突き合わせるしかない
• キーごとの費用は台帳に書けない: 毎月の利用量を転記し続けるのは現実的でない
• 急な利用の増加に気づけない: 台帳は静的な記録で、今日の使われ方は分からない

この 3 点は、プロバイダの利用量データからキーの一覧と費用を自動で作る仕組みで補えます。台帳は「キーの持ち主と用途」を決める場所、利用量の可視化は「実態」を映す場所、と役割を分けると、両方が長続きします。

よくある質問

Q. 台帳は情シスと各部署のどちらが持つべきですか？ ファイルの管理者は情シス、各行の記入は発行した人、と分けます。部署ごとに別の台帳を持つと、経路をまたいだ全体像が見えなくなるため、置き場所は 1 か所にします。

Q. ChatGPT などのサブスクリプションも台帳に載せますか？ API キーを使わないサブスクリプションは、キーの台帳とは別に、契約とアカウントの台帳で管理するのが分かりやすいです。費用の構造（定額か従量か）も管理の仕方も違うためです。

Q. 個人名を台帳に書いてよいですか？ 社内の管理台帳として、利用者の氏名や社員番号を書くのは一般的です。ただし閲覧できる範囲は社内の関係者に絞り、社外に共有するときは部署名までにします。

まとめ

• API キー台帳は「誰が、何のために、どの予算で使っているか」を 1 行で答える表
• 必須はキーの識別子・プロバイダ・用途・利用者・部署・発行日・状態の 7 項目。キーの本体は書かない
• Azure・Bedrock・Vertex AI は利用者ごとのキーがないため、デプロイメントやモデルの単位で 1 行にする
• 発行時の記入に頼らず、月次の棚卸しで実態から台帳を直す
• 台帳にないキーの発見と、キーごとの費用は、利用量データからの自動化で補う

ManageAI は、読み取り専用キーの登録だけで、各プロバイダの API キー（Azure・Bedrock・Vertex AI はデプロイメントやモデルの単位）を自動で一覧にし、部署・利用者・プロジェクトに割り当てて費用を集計します。台帳の「実態側」を毎日更新される形で持てます。モニター企業を募集中です。

関連記事

• 生成AI APIキー管理 完全ガイド｜台帳・権限・ローテーション・費用の紐づけ
• APIキー台帳テンプレート｜Excelで始める最小構成
• APIキー管理の基本｜発行・保管・棚卸し・失効の4工程

次に読む

• ManageAIの組織マッピング｜部署・利用者・プロジェクト