クイックスタートガイド

Keeperシークレットマネージャー設定のクイックスタートガイド

概要

以下の動画でもシークレットマネージャーの設定手順をご覧いただけます。

要件

Keeperビジネスライセンス

シークレットマネージャーはビジネスアカウントで使用できます。まだKeeperをご利用でない場合は、弊社のウェブサイトから無料トライアルをご利用ください。

ワークステーション側の要件

• Python (3.6以降) をインストールできること

• PIPバージョン21以降 (Pythonに含まれています)

• KeeperコマンダーCLI (ログインできること)

はじめに

まず、Keeperアカウントのシークレットマネージャーを有効にします。

シークレットマネージャーの有効化

Keeperシークレットマネージャーの試用版を有効にするには、管理コンソールにログインし、[Secrets Manager] をクリックします。

以下のリンクから、Keeper管理コンソールにアクセスしてください。 US: https://keepersecurity.com/console EU: https://keepersecurity.eu/console AU: https://keepersecurity.com.au/console CA: https://keepersecurity.ca/console JP: https://keepersecurity.jp/console US_GOV: https://govcloud.keepersecurity.us/console

(またはKeeperSecurity.com > [ログイン] > [管理コンソール] を開きます。)

無料トライアルの開始

ロールの作成

シークレットマネージャーユーザーが使用するKeeperアカウントのロールを作成します。 管理者アカウントのロールは、管理コンソールで作成できます。

[ロールを追加] をクリックして新しいロールを作成し、「シークレットマネージャー」など、任意の名前を付けます。

Keeperロールの追加

ロールのシークレットマネージャーを有効化

強制適用ポリシー設定画面で、ロールからアプリケーションへのアクセスを有効にします。

1. ロールを選択します。

2. 強制適用ポリシーを開きます。

3. Keeperシークレットマネージャータブを選択します。

4. Keeperシークレットマネージャーのポリシーを有効にします。

ロールポリシーでシークレットマネージャーを有効にする

シークレットマネージャーをセットアップ

ここでは、Keeperシークレットマネージャーを使用してシークレットにアクセスするために、シークレットの設定、アプリケーションの作成、クライアントの設定を行います。

KeeperボルトまたはKeeperコマンダーを使用して、シークレットマネージャーを設定できます。 以下では、Keeperボルトを使用して設定する手順となります。コマンダーCLIの手順については、本ページの下部をご参照ください。

シークレットの作成

シークレットは、Keeperボルトにレコードとして保存され、通常はレコードの添付ファイルとして、またはフィールドに保存されます。

シークレットマネージャーのシークレットについて、詳しくはこちらのページをご参照ください。

Keeperウェブボルトまたはデスクトップアプリのユーザーインターフェースで共有フォルダを作成し、シークレットをそのフォルダに追加します。

共有フォルダの作成

[新規作成] をクリックし、[共有フォルダ] を選択します

Keeperボルトの新規作成ボタン

シークレットを格納する共有フォルダを作成

名前を入力し、[作成] をクリックして共有フォルダを作成します。

新しい共有フォルダに名前を付けて作成

新しい共有フォルダを選択した状態で [新規作成] ボタンをクリックし、[レコード] を選択して共有フォルダ内に新しいレコードを作成します。

新規作成のリストから「レコード」を選択

シークレットマネージャーのアプリケーションの作成

シークレットは、レコードまたは共有フォルダとしてアプリケーションで共有されます。アプリケーションでは、クライアントデバイス、アクセス権限、監査証跡、履歴を管理します。シークレットマネージャーのアプリケーションについて、詳しくはこちらのページをご参照ください。

Keeperボルトでシークレットマネージャータブに移動すると、シークレットマネージャーアプリケーションの一覧が表示されます。[アプリケーションの作成] をクリックします。

シークレットマネージャータブ

シークレットマネージャーアプリケーションの新規作成

新しいシークレットマネージャーのアプリケーションの名前を入力します。

シークレットマネージャーアプリケーションの名前を入力

次に、新しいアプリケーションに共有する共有フォルダを選択します。 アプリケーションからはここで選択したフォルダ内のレコードにしかアクセスできません。

アプリケーションがアクセスできる共有フォルダを選択

アプリケーションにボルトのレコードへの読み取り専用アクセス権または書き込みアクセス権を付与することもできますし、最初のシークレットマネージャークライアントデバイスがシークレットマネージャーにアクセスした際の最初のIPアドレスに固定するか否かも選択できます (クライアントデバイスの詳細については後述します)。

入力済みの「アプリケーションの追加」フォーム

[アクセストークンの生成] をクリックしてアプリケーションを作成すると、最初のシークレットマネージャークライアントデバイスが自動的に作成されます。

シークレットマネージャークライアントデバイスの作成

クライアントデバイスとは、アプリケーションに関連付けられたシークレットにアクセスする必要がある任意のエンドポイントを指し、物理デバイス、仮想デバイス、クラウドベースのデバイスが含まれます。シークレットマネージャークライアントデバイスについて、詳しくはこちらのページをご参照ください。

Keeperボルトにシークレットマネージャーアプリケーションが作成されると、シークレットマネージャークライアントデバイスも作成されます。

クライアントデバイスが作成されると、ワンタイムアクセストークンが生成されて表示されます。このワンタイムアクセストークンは、本ページの後半で必要になります。後ほど使用するためにトークンをコピーまたはダウンロードしておきます。

クライアントデバイスの作成時に生成されるワンタイムアクセストークン

ダイアログを閉じると、ワンタイムアクセストークンが再び表示されることはありません。 新しいクライアントデバイスを作成すると、いくつでもトークンを生成できます。

クライアントデバイスの追加作成 (任意)

シークレットマネージャーアプリケーションを作成すると、そのアプリケーションに対してさらにクライアントデバイスを追加で作成できます。

追加のクライアントデバイスとワンタイムアクセストークンを作成する手順については、こちらのページをご参照ください。

シークレットマネージャーの設定が終わり、使用できるようになりました。

シークレットを閲覧

次に、シークレットマネージャーCLIを使用して、シークレットマネージャーで共有されているKeeperボルトのシークレットを閲覧します。

シークレットマネージャーには、各種言語のSDKと、シークレットへのアクセスに使用できる、多くの組み込み済みの統合機能があります。

この例では、シークレットマネージャーCLIツール (ksm) を使用して、Keeperボルトからシークレットを取得して表示します。

シークレットマネージャーCLIのインストール

バイナリリリースを使用したインストール

最新のバイナリリリースは、GitHubリポジトリで入手できます。ご利用のオペレーティングシステムに合わせてインストーラーをダウンロードし、クリックしてインストールまたは解凍して使用します。その他のインストール方法についてはこちらのページをご覧ください。

WindowsまたはMac OSでUIを使用してCLIを起動すると、CLIはシェルモードで実行されます。ksmコマンドは、コマンドラインから引き続き利用できます。

Linuxバイナリは単なる実行ファイルなので、PATHの通ったディレクトリに移動する必要があります。

pip3とPython3を使用したKSMのインストール

pip3とPython3を使用してインストールする場合は、以下のコマンドを使用します。

sudo pip3 install --upgrade pip
sudo pip3 install keeper-secrets-manager-cli

pip3がシステムにインストールされていない場合は、Python3をインストールします。yumを使用する場合は、以下のようになります。

sudo yum install python3

KeeperシークレットマネージャーCLIをシークレットマネージャーアプリケーションに接続

上記で取得したワンタイムアクセストークンを使用して、シークレットマネージャーCLIを初期化します。

ksm profile init --token PASTE_TOKEN_HERE

KSMプロファイルが正常に初期化されない場合は、ワンタイムアクセストークンが失効している可能性があります。 新しいクライアントデバイスを作成し、新しいワンタイムアクセストークンを生成してみてください。

シークレットにアクセス

シークレットの一覧を閲覧するには、ksm secret list コマンドを使用します。

ksm secret list

CLIにシークレットマネージャーアプリケーションで共有されるシークレットの一覧が表示されます。

Example output

 UID                     Record Type          Title
 ----------------------- -------------------- ---------------
 bf3dg-99-JuhoaeswgtFxg  login                My Secret
 3FXqmP5nFKwju0H8pl0DmQ  databaseCredentials  MySQL Credentials

シークレットマネージャーCLIの詳細な使用方法については、こちらのページをご参照ください。

完了

🎉おめでとうございます。これで基本設定は完了です。

次の手順

• シークレットマネージャーチームとお客様の用途ついて話し合う時間を設定します。

• SDKを使用したKeeperシークレットマネージャーとお客様のソフトウェアとの連携について確認します。

• シークレットマネージャーCLIの詳細を確認します。

• 統合機能を使用したCI/CDシステムからシークレットへのアクセスについて確認します。

ご不明な点がございましたら、[email protected]までお問い合わせください。

KeeperコマンダーCLIを使用して設定

Keeperボルトの代わりにKeeperのコマンドラインツールであるコマンダーを使用して、シークレットマネージャーを設定することもできます。 以下はその手順となります。

インストール手順については、こちらのページをご参照ください。

ロールのシークレットマネージャーを有効化

コマンダーを使用してKeeperロールのシークレットマネージャーを有効にしなければならない場合があります。 その場合は、以下のコマンドを実行します。

enterprise-role "Keeper Admin" --enforcement "ALLOW_SECRETS_MANAGER:True"

「Keeper Admin」を、シークレットマネージャーを有効にしたいロールの名前に置き換えます。

シークレットの作成

シークレットは、Keeperボルトにレコードとして保存され、通常はレコードの添付ファイルとして、またはフィールドに保存されます。

シークレットマネージャーのシークレットについて、詳しくはこちらのページをご参照ください。

keeper shell と入力してKeeperコマンダーを実行し、Keeperで使用しているメールアドレスでログインします。

$ keeper shell
  _  __  
 | |/ /___ ___ _ __  ___ _ _ 
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
 vXX.X.X      |_|

 password manager & digital vault

Not logged in> login [email protected]

ログイン後

• シークレットを作成します。

• 共有フォルダを作成します。

• シークレットを共有フォルダに移動します。

以下はコマンドの例です。

My Vault> add --login admin --pass "46$$62512%Rd1" --url "192.168.1.1" -t "My Secret"
My Vault> mkdir -sf -a "DevOps Secrets"
My Vault> mv "My Secret" "DevOps Secrets"

シークレットマネージャーアプリケーションの作成

シークレットは、レコードまたは共有フォルダとしてアプリケーションで共有されます。アプリケーションでは、クライアントデバイス、アクセス権限、監査証跡、履歴を管理します。

シークレットマネージャーのアプリケーションについて、詳しくはこちらのページをご参照ください。

以下の例では、XXX をボルトの共有フォルダのUIDまたはレコードUIDに置き換えます。

My Vault> secrets-manager app create MyApplication
My Vault> secrets-manager share add --app MyApplication --secret XXX

Keeperコマンダーからも、シークレットマネージャーの多くの操作を実行できます。シークレットマネージャーコマンドの使用方法については、こちらのページをご参照ください

シークレットマネージャークライアントデバイスの作成

クライアントデバイスとは、アプリケーションに関連付けられたシークレットにアクセスする必要のある任意のエンドポイントを指し、物理デバイス、仮想デバイス、クラウドベースのデバイスが含まれます。

シークレットマネージャークライアントデバイスについて、詳しくはこちらのページをご参照ください。

デバイスの初期化に使用するワンタイムアクセストークンを生成するクライアントデバイスを作成します。

My Vault> secrets-manager client add --app MyApplication

Successfully generated Client Device
====================================

One-Time Access Token:US:4d8THSdmLZOeqZubMNqKWKcrgh7SyQiAQ9afVI0IL0I
IP Lock:Enabled
Token Expires On:2021-08-26 12:03:23
App Access Expires on:Never

クイックスタートガイドを続行

シークレットマネージャーの設定が終わり、使用できるようになりました。

これ以降は上記の手順に従い、シークレットマネージャーを使用してシークレットにアクセスします。