# 設定見本・秘密情報管理ルールひな形（記入例）

架空企業「みらい業務サービス」の社内依頼・承認管理アプリの例。実在する会社・案件・人物は含まない。
記事「秘密情報を設定から分離し、外部部品の出所と利用条件を確認する」（06-04）の本文で実際に実行して確認した内容をまとめたもの。空欄版は `06-04-secrets-dependencies_template.md`。

実際の秘密情報はこの記入例にも含まれていません。

## 1. 設定見本（値は空欄）

```text
# 依頼・承認管理アプリ 設定見本（値は空欄。実際の値はこのファイルに書かない）
DB_CONNECTION_STRING=
API_KEY=
```

`.gitignore`（実際の値を置く `.env` を Git の対象から外す。このリポジトリ本体の `.gitignore` と同じ内容）：

```text
.env
.env.*
!.env.example
```

### 値の置き場所と、4つの混入先の確認

| 場所 | 置いてよいか | 確認方法（2026-09-21 に演習で実行、evidence_public/phase5b2c2-2026-09-21/06-04/run_log.md） |
|---|---|---|
| コード | 置かない（環境変数から読む） | 秘密らしい書き方の検査 0 件 |
| Git の履歴 | 置かない | `.env` が保存の対象外（check-ignore）、履歴の全文検索で 0 件 |
| AIへ渡す資料 | 置かない（設定見本だけ渡す） | 検査 0 件 |
| 公開する実行記録 | 置かない | 検査 0 件 |
| `.env`（Git の対象外、作業するパソコンの中）／組織の管理の仕組み | 置いてよい | 演習では架空の値 `DRILL-FAKE-KEY-0000` のみ |

機械の検査は決まった書き方しか見つけられないため、保存・送信・公開のたびに目視も行う。

## 2. 依存部品の一覧

| 部品名 | 出所 | 版 | 利用条件 | 更新方針 |
|---|---|---|---|---|
| （例）外部のワークフロー部品 | 公式の配布元（架空） | 未確定 | 利用規約の確認が必要（未確認） | 03-03の選定後に決める |

## 3. 完了条件の確認

- [x] 設定見本に実際の秘密情報が含まれていない
- [x] 秘密情報を履歴・AIへの資料・公開する実行記録に含めない確認手順がある（実際に実行）
- [x] 実際の値の置き場所が決まっている
- [x] 依存部品の一覧に出所と利用条件がある

## 4. 次工程へ渡すもの

- [x] 設定見本・部品一覧（第1〜2節）
- [ ] 承認者：総務課長（架空）— 記入例のため未承認の扱い