Azure
Azure環境でのパスワードローテーション
概要
このセクションでは、Azureネットワーク環境内のユーザー認証情報を、対象となる様々なシステムでローテーションする方法について取り扱います。ローテーションは、デフォルトのディレクトリでもあるAzure Active Directory (Azure AD) に設定されてアタッチされたデバイスで動作します。
KeeperPAMで、Azure ADユーザー、サービスアカウント、ローカル管理者ユーザー、ローカルユーザー、マネージドサービス、データベースなどのパスワードをローテーションできます。
KeeperPAMレコードタイプ
Azure Active Directoryの構成は、KeeperシークレットマネージャーのPAM構成で定義します。
Azure AD参加済みデバイスの構成は、PAMディレクトリ、PAMマシン、PAMデータベースのレコードタイプで定義されます。以下の表には、KeeperローテーションでサポートされているAzure AD参加済みデバイスと、それらに対応するPAMレコードタイプが記載されています。
Azure AD Domain Services
PAMディレクトリ
仮想マシン
PAMマシン
マネージドデータベース
PAMデータベース
Azure Directoryユーザーのクレデンシャルの設定は、PAMユーザーレコードで定義されます。
ローテーションの要件
Azure環境内でユーザー認証情報をローテーションする前に、以下の情報と構成を用意しておきます。
ローテーションで使用するAzure AD参加済みデバイスはすべて、Azure Active Directory内で作成および構成する必要があります。
Azureネットワーク内でローテーションを正常に構成および設定するには、PAM構成で以下の値が必要です。
クライアントID
Azureアプリケーションのアプリケーション/クライアントID (UUID)
クライアントシークレット
Azureアプリケーションのクライアントのクレデンシャルシークレット
サブスクリプションID
Azureサービス (従量課金制) を使用するためのサブスクリプションのUUID
テナントID
Azure Active DirectoryのUUID
ローテーションに使用する予定のすべてのAzureサービスまたはAzure AD参加済みデバイスが、Azure Active Directoryにアクセスできることを確かにします。
アプリケーションが様々なAzureリソースにアクセスしてアクションを実行できるようにするカスタムロールを作成します。詳しくは、Azure環境セットアップのページをご参照ください
セットアップ手順
Azureネットワークでパスワードを正常にローテーションするには、以下の手順が必要となります。
ローテーションに関連するPAMレコードを格納する共有フォルダの作成します。
各リソースを格納するPAMマシン、PAMデータベース、PAMディレクトリレコードを作成します。
各リソースに必要となるアカウント認証情報を含むPAMユーザーレコードを作成します。
PAMユーザーレコードをPAMリソースレコードにリンクします。
シークレットマネージャーアプリケーションをPAMレコードが格納されているすべての共有フォルダに割り当てます。
Keeperゲートウェイをインストールし、シークレットマネージャーアプリケーションへの追加します。
Azure環境設定を使用してPAM構成を作成します。
PAMユーザーレコードでローテーション設定を構成します。
活用事例
最終更新