シークレットマネージャーコマンド
Keeperシークレットマネージャープラットフォームを設定および管理するコマンド
概要
Keeperシークレットマネージャーは、DevOpsチームとエンジニアリングチームが特権アカウントへのアクセスを一元的に管理および制御するための、クラウドベースのゼロ知識プラットフォームです。以下は、シークレットマネージャーの一般的な使用例となります。
ソースコード、設定ファイル、CI/CDシステムからのハードコードされたクレデンシャルの削除
特権パスワード、APIキー、およびその他の管理対象シークレットへのアクセス保護
マシンやアプリケーションへのボルトアクセスの提供
オンデマンドで、またはスケジュールを組んでサービスアカウントの認証情報をローテーション
Keeperシークレットマネージャーでは、Keeperボルト内の特定のフォルダにアクセスする必要のある各対象環境に対して「アプリケーション」が作成されます。 アプリケーションに対して、ボルト内の1つまたは複数の共有フォルダやレコードへのアクセス権を付与できます。アプリケーションは、1つまたは複数の「クライアント」から利用できます。クライアントはシークレットマネージャーインフラストラクチャによって個別に認証および管理されます。
たとえば、Keeperの「アプリケーション」が運用システムとなり、運用システム内の個々のウェブサーバーがクライアントになる場合もあります。各クライアントは、リクエストの署名に使用するクライアントIDと秘密鍵を使用して、Keeperボルトに対して認証されて通信します。
本ページのコマンドを使用して、Keeperシークレットマネージャーアプリケーションとクライアントデバイスを設定します。
Keeperシークレットマネージャーのコマンド
対話型シェル、CLI、JSON構成ファイルのいずれを使用する場合でも、以下のコマンドがサポートされており、各コマンドでは追加のパラメータとオプションがご利用になれます。
特定のコマンドに関するヘルプを表示するには、以下のように入力します。
bashCopyEdithelp <コマンド名>コマンド形式
Keeperシークレットマネージャーのコマンドは、以下の形式に従います。
php-templateCopyEditsecrets-manager <コマンド> <サブコマンド>たとえば、すべてのアプリケーションを一覧表示するには、以下のコマンドを実行します。
CopyEditsecrets-manager app list以下は、すべてのsecrets-managerコマンドとその詳細の一覧です。
secrets-manager app list
アプリケーション一覧を表示。App UID、最終アクセス日時、割り当てられたレコード/フォルダ数を確認可能。
secrets-manager app get
アプリケーションの詳細情報 (デバイス情報を含む) を取得。
secrets-manager app create
新しいアプリケーションを作成。
secrets-manager app remove
アプリケーションを削除。
secrets-manager app share
アプリケーションおよび関連ゲートウェイ/構成を他のユーザーと共有。
secrets-manager app unshare
ユーザーからアプリケーションの共有を解除。
secrets-manager client add
アプリケーションに関連付けられたデバイスまたはマシンIDを作成。
secrets-manager client remove
デバイスを削除。
secrets-manager share add
フォルダまたはレコードをアプリケーションに関連付け。
secrets-manager share remove
アプリケーションからフォルダまたはレコードの関連付けを解除。
APIフローの例
以下は、アプリケーションの作成、シークレットの割り当て、マシンデバイスの作成を行う一連のAPI操作例です。
アプリケーションを作成
secrets-manager app create <APPLICATION NAME>
My Vault> secrets-manager app create MyApplication新しいシークレットを作成
ボルトのユーザーインターフェースから実行できますが、ここではシークレットを作成し、共有フォルダを作成してから、そのシークレットを共有フォルダに移動することにします。以下はコマンドの例です。
My Vault> add --login admin --pass "46$$625" --url "192.168.1.1" -t "Test Secret"
My Vault> mkdir -sf -a "My Shared Folder"
My Vault> mv "Test Secret" "My Shared Folder"フォルダをシークレットマネージャーアプリケーションで共有
My Vault> secrets-manager share add --app MyApplication --secret n4QtaKjRjhWMz5aS7bT77Qクライアントにアプリケーションへのアクセスを許可
My Vault> secrets-manager client add MyApplicationすべてのアプリケーションの一覧を取得
secrets-manager app list
My Vault> secrets-manager app list
List of all Applications
Title Uid
--------- ----------------------
PythonApp oXMfwo-hzZNRqMXGvJlccQ
TestApp KtU4eAzor5IpqRW3x4A8FA個々のアプリケーションの詳細を表示
secrets-manager app get <APPLICATION NAME|APP UID>
My Vault> secrets-manager app get MyApplication
Secrets Manager Application
App Name:MyApplication
App UID: ji__h4gaY3xvQdatVY_ffA
Client Device 1
=============================
Name:Device1
Short ID: nWThUIbR
Created On:2021-10-11 16:26:21
First Access:2021-10-11 16:27:05
Last Access:2021-10-11 16:49:47
IP Lock:Disabled
IP Address: --
Application Access
Share Type UID Title Permissions
------------ ---------------------- ---------------------- -------------
FOLDER J6xMIXKiwMqIyYJL7kd3xw Secrets Editable
RECORD mux0ZaWKd-h8maggFzy1rw Database Login Read-Only
コマンド
secrets-manager app createコマンド
コマンド: secrets-manager app create
詳細: クライアントをシークレットに関連付けるために使用する新しいアプリケーションを作成します
パラメータ:
アプリケーションの名前
例:
My Vault> secrets-manager app create PythonApp
Application was added successfullysecrets-manager app getコマンド
コマンド: secrets-manager app get
詳細: 指定したアプリケーションに関する情報を表示します
パラメータ:
アプリケーションの名前またはUID
例:
My Vault> secrets-manager app get PythonApp
Secrets Manager Application
App Name:PythonApp
App UID: ji__hxgaY3xvQdefVY_ffA
Client Device 1
=============================
Name:Device1
Short ID: nWThUIbR
Created On:2021-10-11 16:26:21
First Access:2021-10-11 16:27:05
Last Access:2021-10-11 16:49:47
IP Lock:Disabled
IP Address: --
Application Access
Share Type UID Title Permissions
------------ ---------------------- ---------------------- -------------
FOLDER J62WIXgJwMqIyYJL7kd3xw Secrets Editable
RECORD mux0ZaWKd-vpmaggFzLkrw Database Login Read-Onlysecrets-manager app removeコマンド
コマンド: secrets-manager app remove
詳細: アプリケーションを削除します
パラメータ:
アプリケーションの名前またはUID
例:
My Vault> secrets-manager app remove PythonApp
This Application (uid:2lj-PaoQp281mTV7GWK5Bw) has 5 client(s), 1 shared folder(s), and 10 record(s).
Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:2lj-PaoQp281mTV7GWK5Bw
My Vault> secrets-manager app remove KtU4eAzor5IpqRW3x4A8FA
This Application (uid:KtU4eAzor5IpqRW3x4A8FA) has 12 client(s), 1 shared folder(s), and 4 record(s).
Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:KtU4eAzor5IpqRW3x4A8FAsecrets-manager app shareコマンド
アプリケーションを他のユーザーと共有することで、そのユーザーは関連するゲートウェイ、デバイス、フォルダへのアクセスが可能になります。
コマンド
secrets-manager app share概要 アプリケーションと、それに関連するゲートウェイおよび構成を別のユーザーと共有します。
パラメータ
アプリケーションの名前またはUID
共有相手のメールアドレス
使用例
secrets-manager app share KtU4eAzor5IpqRW3x4A8FA --email user@company.com
secrets-manager app unshareコマンド
コマンド
secrets-manager app unshare概要 指定したユーザーに対するアプリケーションの共有を解除します。
パラメータ
アプリケーションの名前またはUID
共有を解除する対象ユーザーのメールアドレス
使用例
secrets-manager app unshare KtU4eAzor5IpqRW3x4A8FA --email user@company.com
secrets-manager app listコマンド
コマンド: secrets-manager app list
詳細: すべての作成済みアプリケーションを一覧表示します
例:
My Vault> secrets-manager app list
List of all Applications
Title Uid
--------- ----------------------
PythonApp oXMfwo-hzZNRqMXGvJlccQ
TestApp KtU4eAzor5IpqRW3x4A8FA
secrets-manager share addコマンド
コマンド: secrets-manager share add
詳細: シークレット (レコードまたは共有フォルダ) をアプリケーションに追加します
スイッチ:
--secret、-s <シークレットのUID> 共有するシークレット。フォルダまたはレコードUIDを指定できます
--app、-a 共有先のアプリケーション
--editable、-e レコードの編集を許可します
例:
My Vault> secrets-manager share add --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Successfully added new record uid=E7YS6Yqmhsip52DzwdC9gw to app uid=oXMfwo-hzZNRqMXGvJlccQsecrets-manager share removeコマンド
コマンド: secrets-manager share remove
詳細: シークレット (レコードまたは共有フォルダ) をアプリケーションから削除します
スイッチ:
--secret、-s <シークレットのUID> 共有するシークレット。フォルダまたはレコードUIDを指定できます
--app、-a 共有先のアプリケーション
例:
My Vault> secrets-manager share remove --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Secret share was successfully removed from the applicationsecrets-manager client addコマンド
コマンド: secrets-manager client add
詳細: アプリケーションへの接続に使用するクライアントをアプリケーションに追加します。このコマンドの出力は、シークレットマネージャーSDKを使用してクライアントデバイスを初期化するために使用するワンタイムトークンです。
スイッチ:
--name <クライアント名> クライアント名 (デフォルトはランダムな10文字)
--first-access-expires-in-min <分> 初回アクセスの有効期間 (デフォルトは60
、最大は1440)
--access-expire-in-min <分> クライアントアクセスの有効期間 (デフォルトは無期限)
--unlock-ip 最初に要求するデバイスに対してIPアドレスをロックしません
--count <数> 生成するトークンの数 (デフォルトは1)
--config-init <{json、b64、k8s}> ワンタイムトークンから設定文字列を初期化します
--name <名前> クライアントの名前
例 1. 「Test 1」という名前の新しいデバイスを作成し、ワンタイムアクセストークンを生成します。
My Vault> sm client add --app Ansible --name "Test 1"
Successfully generated Client Device
====================================
One-Time Access Token:US:_wYNCeeLmBSdDgkcE77NyMcO-6DqLutNO1NylWVyco
Name:Test 1
IP Lock:Enabled
Token Expires On:2021-09-30 22:52:46
App Access Expires on:Never
例 2. 「Test 2」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたJSON設定ファイルを生成します。この設定ファイルは、デバイスに直接読み込めます。
My Vault> sm client add --app Ansible --name "Test 2" --unlock-ip --config-init=json
Successfully generated Client Device
====================================
Initialized Config: {"hostname": "keepersecurity.com","clientId":"XXX","privateKey":"XXX","serverPublicKeyId":"10","appKey":"XXX"}
Name:Test 2
IP Lock:Disabled
Token Expires On:2021-09-30 22:54:11
App Access Expires on:Never例 3. 「Test 3」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたbase64設定文字列を生成します。この設定ファイルは、JSON設定ファイルを使用する代わりに、単一の文字列としてデバイスに読み込めます。
My Vault> sm client add --app Ansible --name "Test 3" --unlock-ip --config-init=b64
Initialized Config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
Name:Test 3
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Never例 4. 「Test 4」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたKubernetes設定を生成します。YAML出力は、ファイルにカットアンドペーストして適用し、Kubernetesシークレットとして作成できます。
My Vault> sm client add --app Nginx --name "Test 4" --unlock-ip --config-init=k8s
apiVersion: v1
data:
config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
kind:Secret
metadata:
name: ksm-config
namespace: default
type:Opaque
Name:Test 4
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Neversecrets-manager client removeコマンド
コマンド: secrets-manager client remove
詳細: アプリケーションからクライアントを削除します
スイッチ:
--client アプリケーションから削除するクライアント
--app、-a アプリケーション
--force 承認を求めません
例:
My Vault> secrets-manager client remove --app PythonApp --client MyClient
Are you sure you want to delete 3 matching clients from this application? [y/n]:
>? y
Client removal was successful最終更新