開発用パソコンの処分前に｜SSH鍵・APIトークン・Git認証を失効する手順
2026/10/30
「開発用パソコンを初期化すれば、SSH鍵やAPIトークンも使えなくなるのか」「退職者のPCを処分するが、どのサービスの認証を解除すべきか分からない」とお困りではありませんか？
開発用PCには、ソースコードだけでなく、サーバーへ接続するSSH秘密鍵、クラウドの認証情報、APIトークン、Gitサービスのセッションなどが保存されている場合があります。
端末内のファイルを消去しても、接続先サービス側に登録された公開鍵やトークンが自動的に無効になるとは限りません。反対に、必要な鍵を準備せず先に失効すると、新しいPCから業務環境へ接続できなくなる可能性があります。
この記事では、開発用パソコンを処分する前に認証情報を棚卸しし、新しい環境へ移行し、古い端末にひも付く権限を失効してからデータ消去する流れを解説します。
- 初期化だけでは不十分な理由
- 認証情報を棚卸しする
- 新しいPCへ必要な環境を移行する
- 古い鍵・トークン・セッションを失効する
- ソースコードとローカルデータを確認する
- 記録媒体を安全にデータ消去する
- パソコン処分本舗へ依頼する場合
- よくある質問
- まとめ
開発用パソコンを処分するときは、次の3つを分けて確認する必要があります。
- 端末内のデータ：ソースコード、未コミットの変更、ローカルDB、環境変数、設定ファイル
- 外部で有効な認証：SSH公開鍵、APIトークン、クラウド資格情報、VPN証明書、ブラウザセッション
- 廃棄対象の記録媒体：内蔵HDD・SSD、増設ドライブ、外付けストレージ、仮想ディスク
初期化は端末内の整理には必要ですが、サーバーやクラウド側に登録された鍵・トークンを自動では失効しません。新しい環境の動作確認と、古い認証情報の無効化を済ませてから、記録媒体のデータ消去へ進めてください。
1．初期化だけでは不十分な理由
開発用PCの処分では、端末の内側と接続先サービスの両方を整理する必要があります。
1-1．公開鍵はサーバー側に登録される
SSHでは、端末の秘密鍵に対応する公開鍵をサーバーやGitサービスへ登録して利用することがあります。PCを初期化しても、接続先に登録した公開鍵はそのまま残る場合があります。
1-2．APIトークンはサービス側で有効なままになる
APIトークンや個人アクセストークンは、発行元サービス側で失効するまで利用できる場合があります。端末から設定ファイルを削除するだけでは不十分です。
1-3．ブラウザやCLIにセッションが残る
クラウド管理画面、Gitサービス、コンテナレジストリなどへログインした状態が、ブラウザやコマンドラインツールに残っていることがあります。
1-4．複数の保存場所がある
認証情報は、ホームディレクトリ、資格情報マネージャー、環境変数、`.env`ファイル、開発ツールの設定、WSLや仮想マシンの中などに保存される可能性があります。
2．認証情報を棚卸しする
いきなりファイルを削除せず、どのサービスへ接続していたか一覧にします。
2-1．SSH鍵
Gitサービス、社内サーバー、レンタルサーバー、踏み台サーバーなどに登録した鍵を確認します。鍵のファイル名だけでなく、接続先と利用者も記録しましょう。
2-2．Gitサービスの認証
GitHubなどの個人アクセストークン、SSH鍵、OAuthアプリ、ブラウザセッションを確認します。個人アカウントと会社管理アカウントを混同しないよう注意してください。
2-3．クラウドの認証情報
クラウドCLIの設定、アクセスキー、サービスアカウント、認証キャッシュなどを確認します。具体的な失効方法は、利用しているクラウドの公式手順と組織の規程に従ってください。
2-4．APIトークン
外部API、監視サービス、チャット、決済、地図、メール配信など、開発やテストに使ったトークンを確認します。ソースコードへ直接記載していないかも見直しましょう。
2-5．VPNと証明書
VPNプロファイル、クライアント証明書、Wi-Fi証明書など、社内ネットワークへ接続するための情報も対象です。
2-6．WSL・仮想マシン・コンテナ
Windows側だけでなく、WSLや仮想マシンのホームディレクトリ、コンテナ関連の設定にも認証情報が保存されている場合があります。
3．新しいPCへ必要な環境を移行する
失効を始める前に、新しい端末で業務を続けられる状態を作ります。
3-1．新しい鍵を発行する
古い秘密鍵をそのままコピーするのではなく、組織の方針に従って新しいPC用のSSH鍵を発行する方法があります。
接続先へ新しい公開鍵を登録し、接続できることを確認してから古い鍵を削除します。
3-2．必要なトークンを再発行する
新しいPCで必要なトークンを再発行し、権限を最小限に設定します。期限や利用範囲を設定できる場合は、組織のルールに合わせましょう。
3-3．開発環境を再構築する
IDE、Git、言語ランタイム、パッケージ管理、WSL、仮想環境などを新しいPCへ導入します。構築手順をドキュメント化すると、次回の端末入れ替えにも役立ちます。
3-4．接続・ビルド・デプロイを確認する
リポジトリの取得、開発サーバーの起動、テスト、必要な環境への接続を確認します。旧PCを回収へ出す前に、実際の業務が行えるか試してください。
4．古い鍵・トークン・セッションを失効する
新しいPCで作業できることを確認したら、旧PCに関連する権限を停止します。
4-1．接続先から古い公開鍵を削除する
Gitサービス、サーバー、クラウドなどから古い公開鍵を削除します。鍵のタイトルや指紋、登録日を確認し、別の端末で使っている鍵を誤って削除しないよう注意してください。
4-2．APIトークンを失効する
発行元サービスの管理画面から、旧PCで使用していたトークンを失効します。どのトークンか判断できない場合は、利用ログや発行日を確認し、安全を優先して再発行を検討してください。
4-3．ブラウザとCLIのセッションを終了する
各サービスの「ログイン中の端末」やセッション管理から旧PCを外します。端末側でサインアウトするだけでなく、サービス側でも確認しましょう。
4-4．VPN・証明書を失効する
会社管理のVPNや証明書は、情報システム担当者が失効・削除を行います。退職者端末では、アカウント自体の無効化と合わせて確認してください。
4-5．失効記録を残す
法人PCでは、端末名、利用者、対象サービス、失効日、担当者を記録すると、後から確認しやすくなります。
5．ソースコードとローカルデータを確認する
認証情報だけでなく、開発成果物の移行漏れにも注意します。
5-1．未コミット・未プッシュの変更
ローカルだけにあるブランチ、コミットしていない変更、スタッシュなどを確認します。リモートリポジトリがあるからといって、すべて保存済みとは限りません。
5-2．ローカルデータベース
開発用DB、テストデータ、ダンプファイルなどを確認します。個人情報を含む場合は、移行先と保存期間を慎重に判断してください。
5-3．環境設定とドキュメント
`.env`ファイル、設定ファイル、構築手順、テスト用証明書などを確認します。秘密情報を共有リポジトリへ誤って追加しないよう注意してください。
5-4．ダウンロード・デスクトップ・一時フォルダー
本番データの一時コピー、ログ、エクスポートファイルなどが残っている場合があります。主要なプロジェクトフォルダー以外も確認しましょう。
6．記録媒体を安全にデータ消去する
サービス側の権限を失効した後、パソコン本体のデータを処理します。
6-1．HDD・SSDの本数を確認する
開発用デスクトップPCには、OS用SSDとデータ用HDDなど複数の記録媒体が搭載されている場合があります。すべてを消去対象として把握してください。
6-2．OSを初期化する
端末が正常に動作する場合は、メーカーやOSの案内に従って初期化します。必要な環境とデータの移行を確認してから実行してください。
6-3．初期化後も専門的なデータ消去を確認する
OSの初期化だけで、すべてのデータが復元不能になったと判断できるわけではありません。重要なソースコードや顧客情報を保存していたPCは、専門業者の消去方法を確認しましょう。
6-4．故障端末も放置しない
電源が入らないPCでも、記録媒体に情報が残っている可能性があります。起動しない端末のデータ消去へ対応する回収先を選んでください。
6-5．証明書が必要か判断する
法人のセキュリティ規程や取引先との契約で証跡が必要な場合は、データ消去証明書を申し込みます。社内の資産番号と記録媒体を照合できるようにしておきましょう。
7．パソコン処分本舗へ依頼する場合
パソコン処分本舗では、法人で使用した開発用PCやワークステーションの回収とデータ消去を受け付けています。
7-1．複数ドライブ搭載PCも相談可能
増設したHDD・SSDがある場合は、端末台数と記録媒体の本数を事前にお知らせください。
7-2．故障したPCも回収対象
電源が入らない、OSが起動しない、画面が映らないパソコンも回収できます。必要なデータがある場合は、先に復旧をご検討ください。
7-3．回収後にデータを消去
回収したパソコンは、利用者の希望の有無にかかわらずデータ消去処理を行ってからリユース・リサイクルします。
サービス側の鍵・トークン・アカウントの失効は、依頼企業の管理者側で行ってください。
7-4．データ消去証明書を発行できる
有料のデータ消去証明書には、消去日、消去方法、HDDの型番・シリアル番号などが記載されます。専用依頼書が必要なため、発送前に手順をご確認ください。
7-5．認証情報の失効一覧を作る
SSH鍵、Gitサービスのトークン、クラウドアクセスキー、VPN証明書、パッケージレジストリの資格情報などを一覧にします。発行先、用途、権限、失効日、新しい認証情報の有無を記録してください。
一つの秘密鍵を複数の接続先で使っていた場合は、登録先を漏れなく確認する必要があります。サーバー、踏み台、Gitホスティング、社内機器など、接続先ごとに削除を確認しましょう。
7-6．退職者・外注者の端末は権限も見直す
端末内のデータ消去だけでなく、アカウント、グループ、リポジトリ、クラウド権限が現在も必要か確認します。不要な権限を残したまま端末だけ処分すると、別の端末からアクセスできる状態が続く場合があります。
引き継ぐソースコードや手順書は組織の管理場所へ移し、個人アカウントだけに依存しない状態にします。権限整理と回収処理を同じ退職・契約終了チェックリストで管理すると漏れを減らせます。
8．よくある質問
Q．PCを初期化すればAPIトークンも無効になりますか？
A．端末からファイルが消えても、発行元サービス側のトークンが自動的に失効するとは限りません。管理画面から失効し、必要なら新しいトークンを発行してください。
Q．SSH秘密鍵を新しいPCへコピーしてもよいですか？
A．組織のセキュリティ方針によって異なります。新しいPCで鍵を発行し、古い公開鍵を接続先から削除する運用もあります。管理者の指示に従ってください。
Q．退職者のPCが起動しません。
A．管理者がアカウント、公開鍵、トークン、VPN証明書をサービス側で失効してください。PC本体は故障端末のデータ消去に対応する回収先へ依頼します。
Q．HDDを外したPC本体も回収できますか？
A．パソコン処分本舗では、HDD・SSDを取り外したパソコンも回収対象です。取り外した記録媒体は、組織の規程に従って安全に処分してください。
9．まとめ
開発用PCを処分するときは、端末内のデータとサービス側の権限を分けて整理します。
- SSH鍵、APIトークン、証明書、セッションを棚卸しする
- 新しいPCで必要な鍵と環境を準備する
- 接続・ビルド・デプロイを確認する
- 旧PCに関連する鍵・トークン・セッションを失効する
- 未送信のソースコードやローカルDBを確認する
- すべてのHDD・SSDを確実にデータ消去する
パソコン処分本舗では、開発用PC、複数ドライブ搭載PC、故障端末、法人の複数台処分、データ消去証明書を相談できます。サービス側の権限を整理し、端末一覧と記録媒体を確認してから回収をご依頼ください。
