HashiCorp Certified: Vault Associate（003）の出題範囲と勉強方法
最終更新：2026-08-01
Vault Associateはどんな試験か
HashiCorp Certified: Vault Associate は、シークレット管理ツール HashiCorp Vault の基礎知識と操作スキルを証明する認定資格です。パスワード、APIキー、証明書、データベース資格情報といった秘密情報をアプリケーションやインフラへどう安全に配布するかという課題に対し、Vaultの基本機能で解決策を選べるレベルが問われます。
想定される受験者は、セキュリティ・開発・運用のいずれかを専門とするクラウドエンジニアです。前提資格はなく、ターミナルの基本操作とクラウドアーキテクチャ、セキュリティの基礎知識があれば学習を始められます。
実務で効いてくるのは、認証情報のハードコーディングや長期間有効な静的キーの使い回しといった課題を扱うときです。動的シークレット、短命なトークン、最小権限のポリシー設計という考え方は他のシークレット管理製品にも共通するため、CI/CDやKubernetesへ認証情報を渡す設計を担当するプラットフォームエンジニアやSREにとっては、学習内容がそのまま設計判断に直結します。
試験の基本情報
| 項目 | 内容 |
|---|---|
| 正式名称 | HashiCorp Certified: Vault Associate (003) |
| 受験料 | 70.50 USD（別途、現地で適用される税・手数料） |
| 試験時間 | 1時間 |
| 問題数 | 公式には公開されていません |
| 出題形式 | 正誤問題、単一選択、複数回答（複数回答は選ぶ数が設問に示されます） |
| 受験方式 | オンライン監督。自宅などから受験し、ライブの試験官がWebカメラ・マイク・画面を通して監督します |
| 提供言語 | 英語のみ |
| 対象バージョン | Vault 1.16 |
| 有効期限 | 2年間（同製品の同レベル以上の試験合格で再認定。期限の6か月前から受験可） |
| 再受験 | 無料再受験は含まれません。受験間隔は7日、365日のローリング期間で4回まで |
| 前提資格 | なし（推奨知識：ターミナル操作、オンプレミス／クラウドのアーキテクチャ、セキュリティ） |
上記は2026年8月時点の情報です。最新の情報は公式サイトでご確認ください。HashiCorp Developer: Security Automation 認定／Vault Associate (003) 試験対策ページ
出題範囲
公式の出題範囲（Exam Objectives）は9つの大項目に分かれています。ここでは学習しやすい6つのテーマに整理します。なお試験範囲にはEnterprise版限定の機能も含まれ、代表例のディザスタリカバリ／パフォーマンスレプリケーションはCommunity版のローカル環境では試せません。手を動かす範囲とドキュメントで押さえる範囲を分けて計画しましょう。
認証メソッド
出題範囲1に対応します。認証メソッドの目的、ユースケースに応じた選定、「人間向け」と「システム向け」の使い分けが中心です。人間はOIDCやLDAP、GitHub、マシンはAppRoleやKubernetes、各クラウドのIAM連携という対応関係を整理しておきましょう。Identity（エンティティ）とグループ、つまり複数の認証メソッドから来た同一人物を1つのエンティティに束ねてポリシーを一括適用する仕組みも問われます。
ポリシー
出題範囲2に対応します。Vaultのポリシーはデフォルト拒否で、path と capabilities の組み合わせにより許可を与えるHCL形式です。create、read、update、patch、delete、list、sudo、deny の各capabilityが何を許すのか、denyが他すべてに優先すること、ワイルドカード（*）とセグメント一致（+）の違いを押さえてください。要件文からパスとcapabilityを組み立てる練習が有効です。
トークンとリース
出題範囲3と4に対応します。まずサービストークンとバッチトークンの違いです。サービストークンは更新・失効が可能でストレージに永続化され、バッチトークンは軽量で高スループット向き、という特性をユースケースと結びつけて理解します。あわせてrootトークンを常用せず必要時のみ生成して使い終わったら失効させる扱い方、トークンアクセサの用途（トークン自体を知らずに照会・失効できる）、TTLとmax TTL、親の失効に連動しないorphanトークンが範囲です。リースについては、動的シークレットに付くリースIDの意味と、更新（renew）・失効（revoke）を押さえます。
シークレットエンジン
出題範囲5と6に対応します。用途に応じたエンジンの選定が軸で、KVのv1とv2の違い（v2はバージョニングとメタデータを持ち、パスに data/ や metadata/ が入る）は頻出の論点です。静的と動的シークレットの比較、データベースやクラウド系エンジンが要求のたびに短命な資格情報を発行する価値、レスポンスラッピングも含まれます。Encryption as a Service としてのTransitエンジンでは、データを保存せず暗号化・復号だけを担う設計と鍵のローテーションを理解しておきましょう。
CLI・UI・APIの操作
これは独立した大項目ではなく、出題範囲1・2・5に散らばって求められる操作スキルです。Vaultへの認証と認証メソッドの設定（範囲1）、ポリシーの適用（範囲2）、シークレットエンジンの有効化とシークレットの読み書き（範囲5）を、いずれもCLI・HTTP API・UIで実施できることが明示されています。CLIの操作がAPIのどのパスに対応するか（KV v2の読み取りが secret/data/ 配下になる等）を意識して触ると、経路が変わっても迷いません。VAULT_ADDR や VAULT_TOKEN といった環境変数の設定は出題範囲7に含まれます。
アーキテクチャと暗号化
出題範囲7から9に対応します。土台になるのは鍵の三層構造です。データを暗号化する暗号化キー（キーリング）をルートキーが保護し、そのルートキーをアンシールキーが暗号化します。既定のShamir方式ではアンシールキーが複数のシェアに分割され、しきい値の数だけシェアを入力するとルートキーを復号できる、という順序で理解してください。自動アンシールではこの役割をクラウドKMSやTransitといった外部サービスに委ね、人手で入力するのはリカバリキー（root token生成などの定足数操作に使う鍵で、ルートキー自体は復号できない）になります。なおHSM（PKCS#11）によるアンシールはEnterprise限定で、クラウドKMSとTransitはCommunity版でも利用できます。ストレージバックエンドの役割とRaft統合ストレージによるHA構成、自己管理クラスタとHashiCorpマネージドの違い、Enterprise機能のレプリケーションも範囲です。アクセス管理では、アプリを改修せずトークン取得・更新やシークレット配布を担うVault Agentと、VaultのシークレットをKubernetes上のSecretへ同期するVault Secrets Operatorの2つが挙げられています。
勉強法・学習ロードマップ
ステップ1：devサーバーで手を動かす（1〜2週間）
最初にローカルへVaultバイナリを導入し、開発モードのサーバーを起動します。vault server -dev はメモリ上で動作し、起動と同時にアンシール済み・rootトークン発行済みになるため学習の初速を上げられます。ただし公式ドキュメントが明記するとおり、この構成を本番環境で使ってはいけません。この段階では、シークレットの読み書き、KV v2の有効化とバージョン確認、ポリシーの作成とトークンへの付与、AppRoleでのログイン、Transitでの暗号化・復号を一巡させます。
ステップ2：出題範囲を1項目ずつ埋める（2〜4週間）
公式の出題範囲リストをチェックリストとして使い、各項目を「CLIで実行できる」「なぜそうするか説明できる」の2段階で確認します。サービストークンとバッチトークン、KV v1とv2、静的と動的のような対比構造は、比較表を自分で作ると定着します。Enterprise限定機能は手元で試せないため、ドキュメントで用途と制約を読み、Community版との線引きを明確にしておきましょう。
ステップ3：英語受験への準備（1〜2週間）
この試験は英語のみの提供で、試験時間は1時間です。日本語で概念を理解していても、英語の設問を読む速度が足りないと時間に追われます。学習の後半は公式ドキュメントを英語のまま読み、seal / unseal、lease、capability、response wrapping、orphan token といった頻出用語を英語で直接イメージできる状態にしておきましょう。仕上げに公式サンプル問題で出題形式を確認し、複数回答問題では「選ぶ数」が指示される点にも慣れておきます。
学習期間の目安は、実務経験がある場合で2〜4週間、未経験からなら1.5〜3か月程度です。無料で使える公式リソースは次のとおりです。
- Get started with Vault foundations：インストールからdevサーバー、トークン、ポリシー、CLI／UI／APIまでを扱う入門チュートリアル群
- Learning path - Vault Associate (003)：出題範囲に沿った学習パス
- Exam content list - Vault Associate (003)：出題範囲の一覧。チェックリストに使えます
- Sample questions - Vault Associate (003)：公式サンプル問題
仕上げの段階では、問題演習で弱点テーマを可視化すると復習の優先順位が付けやすくなります。トキヌクのVault Associate向けオリジナル問題集は問題文を日本語と英語で切り替えられるため、英語受験の練習にも使えます。
よくある質問
Q. Vault Associateは日本語で受験できますか？
A. いいえ。2026年8月時点で提供言語は英語のみです。試験時間は1時間で、英語の設問を読み解く速度も合否に影響します。日本語で概念を理解したうえで、公式ドキュメントの英語表記に慣れておく学習が有効です。
Q. 実務でVaultを使っていなくても合格できますか？
A. 公式は実務経験を推奨していますが、個人のデモ環境での実践でも準備できるとしています。ローカルのdevサーバーで出題範囲の操作を一通り手を動かす学習が、現実的な代替手段になります。
Q. 資格の有効期限と再認定の方法は？
A. HashiCorpの認定資格は取得から2年間有効です。再認定するには同じ製品の同レベル以上の試験に合格する必要があり、Vault Associateの場合は003の再受験か、上位のVault Operations Professionalの合格が該当します。いずれも有効期限の6か月前から受験できます。
Q. 不合格だった場合、いつ再受験できますか？
A. 受験の間隔は7日間空ける必要があり、同一試験の受験は365日のローリング期間で4回までです。Associate試験の受験料には無料の再受験は含まれないため、再受験のたびに費用がかかります。
Vaultの問題演習はトキヌクで
トキヌクはVault対策のオリジナル問題を全200問収録（30問は登録なしで無料）。全選択肢に「なぜ正解か・なぜ違うか」の解説付きで、弱点テーマに合わせた出題で効率よく仕上げられます。
Vaultの演習を無料で始める →本記事は学習の参考情報であり、合格を保証するものではありません。試験の仕様（受験料・出題範囲等）は変更されることがあります。必ず公式サイトで最新情報をご確認ください。本サービスは非公式の学習教材であり、各認定団体とは提携・承認・後援関係にありません。試験名は各団体の商標または登録商標です。
トキヌク トップページへ