LogoLogo
KeeperPAMとシークレットマネージャー
KeeperPAMとシークレットマネージャー
  • KeeperPAM
  • 特権アクセス管理
    • セットアップ手順
    • クイックスタート (Sandbox)
    • はじめに
      • アーキテクチャ
        • アーキテクチャ図
        • ボルト (保管庫) のセキュリティ
        • ルータのセキュリティ
        • ゲートウェイのセキュリティ
        • 接続とトンネルのセキュリティ
      • KeeperPAMのライセンス
      • 強制適用ポリシー
      • ボルトの構造
      • レコードリンク
      • アプリケーション
      • デバイス
      • ゲートウェイ
        • ゲートウェイの作成
        • Dockerにインストール
        • Linuxにインストール
        • Windowsにインストール
        • 自動アップデータ
        • 高度な設定
          • AWS KMSでのゲートウェイ構成
          • カスタムフィールドを使用したゲートウェイ構成
      • PAM構成
        • AWS環境のセットアップ
        • Azure環境のセットアップ
        • ローカル環境のセットアップ
      • PAMリソース
        • PAMマシン
          • Linuxマシンの例
          • Azure仮想マシンの例
        • PAMデータベース
          • MySQLデータベースの例
          • PostgreSQLデータベースの例
          • Microsoft SQL Serverデータベースの例
        • PAMディレクトリ
        • PAMリモートブラウザ
        • PAMユーザー
      • アクセス制御
      • ジャストインタイムアクセス (JIT)
    • パスワードローテーション
      • ローテーションの概要
      • ローテーションの活用事例
        • ローカルネットワーク
          • Active DirectorユーザーまたはOpenLDAPユーザー
          • Windowsユーザー
          • Linuxユーザー
          • macOSユーザー
          • データベース
            • ネイティブMySQL
            • ネイティブMariaDB
            • ネイティブPostgreSQL
            • ネイティブMongoDB
            • ネイティブMS SQL Server
            • ネイティブOracle
        • Azure
          • Azure ADユーザー
          • Azure VMユーザーアカウント
          • Azureマネージドデータベース
            • Azure SQL
            • Azure MySQL - シングル/フレキシブルデータベース
            • Azure MariaDBデータベース
            • Azure PostgreSQL - シングル/フレキシブルデータベース
          • Azureアプリケーションシークレットローテーション
        • AWS
          • IAMユーザーのパスワード
          • Managed Microsoft ADユーザー
          • EC2仮想マシンユーザー
          • IAMユーザーのアクセスキー
          • マネージドデータベース
            • AWS RDS for MySQL
            • AWS RDS for SQL Server
            • AWS RDS for PostgreSQL
            • AWS RDS for MariaDB
            • AWS RDS for Oracle
        • SaaSローテーションプラグイン
        • カスタムスクリプト
          • Oktaユーザー
          • Snowflakeユーザー
          • REST APIを使用した認証情報のローテーション
          • Cisco IOS XE
          • Cisco Meraki
      • サービス管理
      • ポストローテーションスクリプト
        • 入力と出力
        • スクリプトの添付
        • コード例
    • 接続 (コネクション)
      • はじめに
      • セッションプロトコル
        • SSH接続
        • RDP接続
        • MySQL接続
        • SQL Server接続
        • PostgreSQL接続
        • VNC接続
        • Telnet接続
        • Kubernetes
        • RBI接続
      • 具体例
        • SSHプロトコル - Linuxマシン
        • RDPプロトコル - Azure仮想マシン
        • MySQLプロトコル - MySQLデータベース
        • PostgreSQLプロトコル - PostgreSQLデータベース
    • トンネル
      • トンネルの設定
    • リモートブラウザ分離
      • リモートブラウザ分離の設定
        • URLパターンとリソースURLパターン
        • ブラウザの自動入力
    • セッションのレコーディングと再生
    • SSHエージェント
      • Gitとの統合
    • 検出 (ディスカバリー)
      • 検出の基本
      • コマンダーを使用した検出
      • ボルトを使用した検出
    • KeeperAI
    • オンプレミス用コネクションマネージャー
    • 参考資料
      • ポートマッピング
      • SSHの設定
      • WinRMを設定
      • ゲートウェイネットワーク構成
      • SQL Serverのセットアップ
      • データベースのインポートとエクスポート
      • Linuxへのsqlcmdのインストール
      • LinuxでのDockerインストール
      • ローテーション用のKSMアプリの作成
      • Active Directoryの最小権限
      • イベントレポート
      • PAMレコードのインポート
      • CLIによるローテーション管理
      • ITSMとの統合
      • ベンダー特権アクセス管理
      • Commander SDK
      • Cron式で自動ローテーション設定
      • プレビュー版へのアクセス方法
  • エンドポイント特権マネージャー
    • 概要
  • セットアップ
  • デプロイメント (展開)
  • コレクション
  • ポリシー
    • ポリシーの例
  • リクエストの管理
  • ベストプラクティス
  • よくある質問
  • シークレットマネージャー
    • 概要
    • クイックスタートガイド
    • Keeperシークレットマネージャー (KSM) について
      • アーキテクチャ
      • 用語
      • セキュリティと暗号化モデル
      • ワンタイムアクセストークン
      • シークレットマネージャーの構成
      • Keeper表記法
      • イベントレポート
      • フィールド/レコードタイプ
    • シークレットマネージャーCLI
      • profileコマンド
      • initコマンド
      • secretコマンド
      • folderコマンド
      • syncコマンド
      • execコマンド
      • configコマンド
      • versionコマンド
      • 各種コマンド
      • Dockerコンテナ
      • カスタムのレコードタイプ
    • パスワードローテーション
    • 開発者用SDK
      • Python SDK
      • Java/Kotlin SDK
        • レコードフィールドクラス
      • JavaScript SDK
      • .NET SDK
      • Go SDK
        • レコードフィールドクラス
      • PowerShell
      • ボルトのSDK
    • 統合機能
      • Ansible
        • Ansibleプラグイン
        • Ansible Tower
      • AWS CLI認証プロセス
      • AWSシークレットマネージャー同期
      • AWS KMSでの暗号化
      • Azure DevOps拡張機能
      • Azure Key Vaultとの同期
      • Azure Key Vaultでの暗号化
      • Bitbucketプラグイン
      • Dockerイメージ
      • Dockerランタイム
      • Docker Writerイメージ
      • Entrust HSM
      • Git - SSHでコミットに署名
      • GitHub Actions
      • GitLab
      • Google Cloud Secret Managerとの同期
      • Google Cloud Key Managementでの暗号化
      • Hashicorp Vault
      • Heroku
      • Jenkinsプラグイン
      • Keeperコネクションマネージャー
      • Kubernetes外部シークレットオペレータ
      • Kubernetes
      • Linux Keyring
      • AIエージェント向けModel Context Protocol (MCP) – Docker版
      • AIエージェント向けModel Context Protocol (MCP) – Node版
      • Octopus Deploy
      • Oracle Key Vaultでの暗号化
      • PowerShellプラグイン
      • ServiceNow
      • TeamCity
      • Teller
      • Terraformプラグイン
        • Terraformレジストリ
      • Windows資格情報マネージャー
      • XSOAR
    • トラブルシューティング
  • コマンダーCLI
    • コマンダーの概要
    • インストールとセットアップ
      • WindowsでのCLIインストール
      • MacでのCLIインストール
      • LinuxでのCLIインストール
      • Python開発者用セットアップ
      • .NET開発者用セットアップ
      • PowerShellモジュール
      • ログイン
      • 設定と使用法
        • AWS Secrets Manager
        • AWS Key Management Service
      • Windowsタスクによる自動化
      • AWS Lambdaで自動化
      • アンインストール
    • コマンドリファレンス
      • データのインポートとエクスポート
        • インポート/エクスポートコマンド
        • CyberArkからのインポート
        • LastPassデータのインポート
        • Delinea/Thycotic Secret Serverインポート
        • Keepassインポート
        • ManageEngineインポート
        • Mykiインポート
        • Proton Passインポート
        • CSVインポート
        • JSONインポート
      • レポート作成コマンド
        • レポートの種類
      • エンタープライズ管理コマンド
        • ユーザーの作成と招待
        • コンプライアンスコマンド
        • Breachwatchコマンド
        • SCIMプッシュ配信設定
      • レコードに関するコマンド
        • レコードタイプに関するコマンド
        • レコードタイプの作成
      • 共有コマンド
      • KeeperPAMコマンド
      • 接続コマンド
        • SSH
        • SSHエージェント
        • RDP
        • connectコマンド
        • SFTP同期
      • シークレットマネージャーコマンド
      • MSP管理コマンド
      • 各種コマンド
      • パスワードローテーション
        • パスワードローテーションコマンド
        • AWSプラグイン
        • Azureプラグイン
        • Microsoft SQL Serverのプラグイン
        • MySQLプラグイン
        • Oracleプラグイン
        • PostgreSQLプラグイン
        • PSPasswdプラグイン
        • SSHプラグイン
        • Unix Passwdプラグイン
        • Windowsプラグイン
        • Active Directoryプラグイン
        • 自動実行
    • サービスモードREST API
    • トラブルシューティング
GitBook提供
このページ内
  • 概説
  • 機能
  • 要件
  • インストール
  • 1. シークレットマネージャープラグインのダウンロード
  • 2. HashiCorp Vaultにプラグインを登録
  • 3. シークレットマネージャー接続の構成
  • プラグインの使用
  • シークレットを一覧表示
  • 個々のシークレットを取得
  • TOTPコードの読み取り
  • シークレットを更新
  • シークレットの作成
  • シークレットの削除
GitHubで編集
  1. シークレットマネージャー
  2. 統合機能

Hashicorp Vault

KeeperシークレットマネージャーとHashiCorp Vaultを連携させてデータソースとして使用

前へGoogle Cloud Key Managementでの暗号化次へHeroku

最終更新 7 日前

概説

KeeperシークレットマネージャーとHashiCorp Vaultの連携により、KeeperボルトのシークレットをHashiCorp Vaultのデータストアとして使用できます。

機能

  • HashiCorp Vaultスクリプトとコマンドを使用して、Keeperボルトのシークレットを使用します

  • HashiCorp Vaultを使用してシークレット情報を読み取ります

  • HashiCorp Vaultからシークレット情報を更新します

Keeperシークレットマネージャー機能については、概要のページをご参照ください。

要件

この統合機能を利用するには以下が必要となります。

  • Keeperシークレットマネージャーへのアクセス (詳しくはクイックスタートガイドをご参照ください)

    • Keeperサブスクリプションのシークレットマネージャーアドオンの有効化

    • シークレットマネージャー関連ポリシーが有効化されたロールのメンバーシップ

  • シークレットを共有するKeeperシークレットマネージャーアプリケーション

    • アプリケーションの作成手順については、クイックスタートガイドをご参照ください

  • Keeperシークレットマネージャー構成の初期化

    • HashiCorp Vault連携では、Base64形式の設定を使用できます

  • HashiCorp Vaultコマンドライン、およびVaultサーバーの稼働

    • インストール方法は、HashiCorp Vaultのドキュメントをご参照ください

インストール

1. シークレットマネージャープラグインのダウンロード

以下のKSM GitHubのページから最新のインテグレーションリリースをダウンロードします。

一覧からご利用のプラットフォームに適合するvault-pluginのリリースを探します。

プラグインを解凍し、HashiCorp Vaultのpluginsディレクトリに配置します。 この例では、フォルダはC:\vault\plugins (Windows) または/etc/vault/vault_plugins (MacOS/ Linux) にあります。

2. HashiCorp Vaultにプラグインを登録

開発モード

プラグインをテストしたり、迅速な開発を可能にしたりするために、開発モードを使用して、HashiCorp Vault CLIをすばやく起動できます。

HashiCorp Vaultを開発モードで起動

vault server -dev -dev-plugin-dir=C:\vault\plugins

シークレットマネージャープラグインを有効化

vault secrets enable -path=ksm vault-plugin-secrets-ksm.exe

HashiCorp Vaultを開発モードで起動

vault server -dev -dev-plugin-dir=/etc/vault/vault_plugins

シークレットマネージャープラグインを有効化

vault secrets enable -path=ksm vault-plugin-secrets-ksm

HashiCorp Vault CLI開発モードでは、揮発性インメモリストレージを利用します。 Keeperボルトのシークレットに対して実行されるアクションはすべて即時に実行されますが、HashiCorp Vaultを開発モードで起動するたびにプラグインを再度有効にする必要があります。

本番モード

本番環境に移行する準備ができたら、プラグインのSHA256ハッシュを使用して、プラグインを登録します。

シークレットマネージャープラグインの登録と有効化

vault plugin register -command=vault-plugin-secrets-ksm.exe -sha256=<SHA256> secret vault-plugin-secrets-ksm
vault secrets enable -path=ksm vault-plugin-secrets-ksm

SHA256ハッシュの生成

本番環境のHashiCorp Vaultサーバーでプラグインを有効にするには、プラグインファイルのハッシュが必要です。このハッシュは、シークレットマネージャープラグインに対して生成できます。

Windows 7以降の環境には、SHA256ハッシュを生成するための組み込みツールとして CertUtil が含まれています。以下は、CertUtilを使ってSHAハッシュを生成する方法の例です。ただし、SHA256形式でファイルのハッシュを生成できるツールであれば、他のツールを使用しても問題ありません。

CertUtil -hashfile C:\vault\plugins\vault-plugin-secrets-ksm.exe SHA256

シークレットマネージャープラグインの登録と有効化

vault plugin register -sha256=<SHA256> secret vault-plugin-secrets-ksm
vault secrets enable -path=ksm vault-plugin-secrets-ksm

SHA256ハッシュの生成

本番環境のHashiCorp Vaultサーバーでプラグインを有効にするには、プラグインファイルのハッシュが必要です。 このハッシュは、シークレットマネージャープラグイン用に生成できます。

標準のshasumコマンドを使用すると、以下のように生成できます。

shasum -a 256 /etc/vault/vault_plugins/vault-plugin-secrets-ksm

OSによっては、代わりにsha256sumコマンドを使用できます。

sha256sum /etc/vault/vault_plugins/vault-plugin-secrets-ksm

3. シークレットマネージャー接続の構成

HashiCorp Vaultプラグインがインストールされたので、シークレット認証情報へアクセスできるよう、Keeperボルトとのセキュアな接続を確立します。この接続を作成するには、シークレットマネージャー構成を作成し、それをプラグインに割り当てる必要があります。

シークレットマネージャー構成を作成

シークレットマネージャーの構成は、KeeperコマンダーまたはシークレットマネージャーCLIを使用して作成できます。構成の作成方法については、構成のページをご参照ください。

構成が生成されたら、その内容をVaultプラグインで使用するために変数に設定します。

vault write ksm/config ksm_config=<BASE64_CONFIG...>

プラグインの使用

シークレットを一覧表示

vault list ksm/records

レコードは以下の形式で表示されます。

Keys
----
UID RECORDTYPE:RECORDTITLE

例:

C:\Vault> vault list ksm/records
Keys
----
Hf6of4uo_2aD7IMjn4VPuA  login: My Record
Lv3B9ObAjxdpdBl0IJ3oow  folder:4 record(s)
Oq3fFu14hZY00d7sp3EYNA  MyCustomType: My New Record (Custom record type)
YDx58Q94dE1k9B367ZVz1w  databaseCredentials:   MySQL Credentials
qe3EWYn840uR0bOMyZ2b0Q  login: Dropbox Login

個々のシークレットを取得

vault read ksm/record uid=<UID>

例:

C:\Vault> vault read ksm/record uid=Hf6r5Zuo_2aD7IMjn4VPuA
Key       Value
---       -----
fields    [map[type:login value:[username@email.com]] map[type:password value:[Pd08fi@1]]]
notes     Example Login Record
title     Sample KSM Record
type      login

TOTPコードの読み取り

vault read ksm/record/totp uid=<UID>

例:

C:\Vault> vault read ksm/record/totp uid=32t82-oRu-79yplIAZ6jmA 
Key    Value
---    ---
TOTP   [map[token:392528 ttl:22 url:otpauth://totp/Generator:?secret=JBSWY3DPEZAK3PXP&issuer=Generator&algorithm=SHA1&digits=6&period=30]] 
UID    32t82-oRu-79yplIAZ6jmA

シークレットを更新

既存のシークレットを更新するには、以下のコマンドを使用して、更新されたシークレットの情報を表すJSONデータを渡します。 Keeperボルト内の対応するレコードは、渡されたJSONデータと一致するように更新されます。

vault write -format=json ksm/record uid=<UID> data=@update.json

この例では、更新データをファイルから渡しています。CLIコマンドをより簡潔でわかりやすくするために、この方法が推奨されます。JSONデータをコマンドライン上で直接渡すことも可能ですが、その場合は引用符をエスケープする必要があります。

データファイルの例:

update.json
{
  "fields": [
    {
      "type": "login",
      "value": [
        "username@email.com"
      ]
    },
    {
      "type": "password",
      "value": [
        "kjh4j3245DCD!d"
      ]
    }
  ],
  "notes": "\tThis record was updated with the Vault KSM plugin",
  "title":"Sample Updated Record",
  "type": "login"
}

ヒント 以下のコマンドを使用して、シークレットの現在の値をJSON形式で確認できます。 vault read -field=data -format=json ksm/record uid=<UID>

シークレットの作成

シークレットの更新と同様に、次のコマンドにJSONデータを渡して新しいシークレットを作成します。

vault write -format=json ksm/record/create folder_uid=<UID> data=@data.json

この例では、更新データをファイルから渡しています。CLIコマンドをより簡潔でわかりやすくするために、この方法が推奨されます。JSONデータをコマンドライン上で直接渡すことも可能ですが、その場合は引用符をエスケープする必要があります。

データファイルの例:

data.json
{
      "fields": [
             {
      "type": "login",
      "value": [
       "username@email.com"
      ]
    },
    {
      "type": "oneTimeCode",
      "value": [
        "otpauth://totp/Generator:?secret=JBSWY3JP9HPK3PXP\u0026issuer=Generator\u0026algorithm=SHA1\u0026digits=6\u0026period=30"
      ]
    }
  ],
  "notes": "\tExample Record wth TOTP",
  "title":"Sample TOTP SECRET",
  "type": "login"
}

シークレットの削除

vault delete ksm/record uid=Oq3fFu14hZY00d7sp3EYNA
Releases · Keeper-Security/secrets-managerGitHub
シークレットマネージャーリリース
Logo