AWSシークレットマネージャー
KeeperボルトのシークレットをAWSシークレットマネージャーと同期
最終更新
KeeperPAMとシークレットマネージャー
KeeperボルトのシークレットをAWSシークレットマネージャーと同期
最終更新
KeeperシークレットマネージャーCLIツールのを使用すると、Keeperボルトから目的のAWSシークレットマネージャーアカウントにシークレットをプッシュし、目的の場所にある既存の値を上書きできます。これにより、Keeperボルトが、AWSシークレットマネージャーを利用するAWSのすべてのサービスまたはスクリプトにとっての唯一の信頼できる情報源となります。
KeeperボルトのシークレットをAWSシークレットマネージャーにとっての信頼できる情報源として使用します。
AWSの既存のスクリプトとサービスでKeeperボルトのシークレットがシームレスに使用できるようになります。
Keeperサブスクリプションのシークレットマネージャーアドオンの有効化
シークレットマネージャー強制ポリシーが有効化されたロールを割り当てられたメンバーシップ
AWSシークレットマネージャーのAWSアカウント、およびIAMセキュリティクレデンシャルの作成機能
KSM CLIツールを設定するには、Keeperシークレットマネージャーのワンタイムアクセストークンを使用してプロファイルを作成する必要があります。
プロファイルを作成するには、ksm profile init <TOKEN>コマンドを使用してデフォルトのプロファイルを初期化します。
arn:aws:iam::aws:policy/SecretsManagerReadWrite
アクセスキーの作成については、Amazonの手順をご参照ください。
KSM CLIでは、シークレットを設定するためにAWSアカウントのクレデンシャルが必要です。 これらのクレデンシャルはKeeperのレコードに保存されており、CLIツールからは、Keeperシークレットマネージャーを使用してアクセスできます。
クレデンシャルレコードには、以下のラベルを持つレコードフィールドが必要です。
「AWS Access Key ID」
「AWS Secret Access Key」
「AWS Region Name」
必要なフィールドを使用してカスタムのレコードタイプを作成できるため、レコードの作成が簡単かつシンプルになります。
カスタムのレコードタイプを作成するには、Keeperボルトで[スタムのレコードタイプ]タブに移動して、[タイプの作成]をクリックします。 正しいフィールドラベルが設定された伏せ字項目を使用して新しいレコードタイプを作成し、[発行]をクリックして新しいレコードタイプを作成します。
AWSクレデンシャルタイプのレコードを新規作成し、対応するフィールドに詳細情報を入力します。
この新しいレコードが、シークレットマネージャーアプリケーションに関連付けられた共有フォルダに移動されていることを確認します。
新しいレコードタイプを作成せずにクレデンシャルレコードを作成するには、必要なフィールドをカスタムフィールドとして標準レコードに追加します。
任意のタイプの新しいレコードを作成し、必要なAWSフィールドごとに[伏せ字項目]タイプのカスタムフィールドを追加します。[ラベルの編集]をクリックして、ラベルを対応するフィールド名に変更します。
次に、各カスタムフィールドに入力し、[保存]をクリックしてレコードを保存します。
KSM CLIのsyncコマンドは、コマンド呼び出しで定義されたマッピングを使用して、設定する値を識別します。各マッピングには、指定された名前の値がKeeper Vaultから取得した対応する値で埋められます。
これらのマッピングは以下の形式に従っています。
--map "VALUE KEY" "KEEPER NOTATION"
VALUE KEYは、AWSシークレットマネージャーで値が割り当てられるキーの名前です。
KEEPER NOTATIONは、キーに設定するKeeperのレコードの値を取得するKeeper表記法を使用したクエリです。
Keeper表記法は、Keeperシークレットマネージャーが特定のレコードの値を識別するために使用するクエリの表記法です。 この表記法は、以下の一般的な形式に従います。UID/[field|custom]/fieldname
例: ae3d[...]d22e/field/password
完全なマッピング例:
--map "MySQL_PWD" "jd3[...]i-fd/field/password"
複数のマッピングを1つのsyncコマンドに追加できます。
--map "MySQL_PWD" "jd3[...]i-fd/field/password" --map "MySQL_Login" "jd3[...]i-fd/field/login"
Keeper表記法を使用したクエリによって参照されるレコードが、シークレットマネージャーアプリケーションと共有されている共有フォルダに格納されているようにします。
これで、KSM同期を実行する準備ができました
同期を実行するには、クレデンシャルレコードと値のマッピングを指定して、KSM CLIのsyncコマンドを使用します。
KSM syncコマンドをAWSタイプと組み合わせて、以下のような形式になります。
ksm sync --type aws --credentials [UID] --map [...] --map [...]
syncコマンドは、実際に値をプッシュすることも変更を加えることもせずに、AWSシークレットマネージャーの値に加えられるすべての変更を確認するドライランがサポートされています。 ドライランで、マッピングクエリが正しく構成されていることを確認します。
ksm sync --type aws --credentials [UID] --map [...] --map [...] --dry-run
準備ができたら、dry-runオプションを指定せずにsyncコマンドを実行します。 これにより、KeeperボルトからAWSシークレットマネージャーに値がプッシュされます
ksm sync --type aws --credentials [UID] -m [...] -m [...]
Keeperシークレットマネージャーへのアクセス (詳細は、をご参照ください)
シークレットを共有するKeeper
アプリケーションの作成手順については、をご参照ください。
複数のプロファイルの作成およびその他のオプションについては、をご参照ください。
AWSにKSMの同期機能を使用するには、AWS に標準のIAMセキュリティ認証情報が必要です。この認証情報には、ボルト全体または個別のキーに対して有効なSecretsManagerReadWrite権限が含まれている必要があります。
詳細は、をご参照ください。
