更新対象の資格情報と旧鍵の失効を照合する

AIが最初に見る箇所

• 鍵・トークン・サービスアカウントのメタデータ台帳
• 旧鍵の失効結果・利用先・失効後の監査ログ
• OAuthの有効期限・更新トークンの再利用・未使用連携の失効記録

確認すること

1. 使用中と誤認されたものだけでなく、全対象のID・所有者・利用先・失効方法を照合する。
2. 新しい鍵の発行と旧鍵の失効を分けて確認し、未知の追加アカウントや永続化も調査対象へ渡す。
3. 長期間有効な連携トークンと更新トークンを棚卸しし、有効期限・再利用制御・失効後の拒否をメタデータと承認済みの試験証拠で確認する。

修正の方向

• 利用先への切替と旧鍵の失効を段階的に行う計画を作る。本番の失効・権限変更は既存の承認範囲で実施する。

限界・未確認として残す範囲

• 新しい鍵を作っただけでは完了ではありません。漏洩した鍵をAIへ渡さず、権限不足なら未確認とします。