ワンタイムアクセストークン

Keeperへの接続に使用するワンタイムアクセストークンについて

概説

Keeperシークレットマネージャーは、「ワンタイムアクセストークン」を使用して鍵交換を行い、シークレットマネージャーAPIにアクセスする新しいクライアントデバイスを初期化します。各クライアントデバイスは、それぞれ専用のワンタイムアクセストークンを使用して初期化する必要があります。

ワンタイムアクセストークンは、KeeperコマンダーまたはKeeperボルトを使用して生成できます。これらのトークンは、クライアントデバイスを作成する際に生成されます。

ワンタイムアクセストークンの目的は、「構成」を作成することにあります。構成は、複数の暗号化キーおよび識別子で構成されており、クライアントデバイス上にローカル保存されるか、対象となるCI/CDプラットフォーム内に保存されます。

コマンダーを使用したトークンの生成

1. アプリケーションを作成する

使用したいアプリケーションが既に存在する場合は、手順3に進みます。

secrets-manager app create を使用して新しいシークレットマネージャーアプリケーションを作成します

My Vault> secrets-manager app create DevOps
Application was successfully added

secrets-manager app list を使用して、使用できるアプリケーションの一覧を表示できます。

My Vault> secrets-manager app list

List all Secrets Manager Applications

Title              UID
-----------------  ----------------------
DevOps             fe6mv_ZBLqca35dBUTdNeQ
Examples           Xym5lhpSidvtk9VlmV_3dQ
Github Actions     L5FqK5DUJhxeCXp50nSkuw
Jenkind            R2jMVW_QwL3FsCJziotpLQ

2. アプリケーションを共有フォルダまたはレコードに関連付ける

アプリケーションにボルト内のレコードへのアクセスを許可するには、共有フォルダまたはレコードをアプリケーションに割り当てる必要があります。

コマンダーから、以下のコマンドを使用してアプリケーションと共有します。

secrets-manager share add --app <アプリケーション名> --secret <フォルダまたはレコードUID>

--editableフラグを指定すると、アプリケーションに編集権限を付与できます。

以下の例では、「XXX」の部分をレコードまたは共有フォルダのUIDに置き換えてください。

My Vault> secrets-manager share add --app DevOps --secret XXX --editable

Successfully added secrets to app uid=XXX, editable=True:
        RpdmKFgF5lpsaID3TcHu8A Shared Folder

レコードUIDやフォルダUIDを確認するには、ls -l コマンドを使用します。このコマンドを実行すると、対応するUIDとともに、レコードやフォルダの一覧が表示されます。

3. クライアントデバイスを作成する

アプリケーションは、1つ以上のクライアントデバイスで構成されます。ボルト内のレコードにアクセスするには、少なくとも1つのクライアントデバイスが必要です。

新しいクライアントデバイスを作成するには、secrets-manager client add --app <アプリケーション名> コマンドを使用します。

オプションとして、--name <名前> を指定するとクライアントデバイス名を設定できます。また、--unlock-ip を指定すると、認証された任意のデバイスからの接続を許可できます。デフォルトでは、クライアントデバイスの外部IPアドレスに基づいてアクセスが制限されます。

My Vault> secrets-manager client add --app DevOps --name server1

Successfully generated Client Device
====================================

One-Time Access Token:US:19-V--cbg8P-o9OVDzMl_hWnrt-QE1eAMQHgSkQMUi0
Name: server1
IP Lock:Enabled
Token Expires On:2021-10-01 11:14:18
App Access Expires on:Never