MySQLプラグイン

Keeperコマンダーを使用したMySQLデータベースのローテーションと接続

Keeperシークレットマネージャーの新しいパスワードローテーション機能がリリースされました。パスワードローテーションのどのような事例でもこの新機能の使用を推奨します。詳細については以下をご参照ください。

• Keeperシークレットマネージャーを使用したパスワードローテーション

前提条件

PyMySQLのインストール

pip3 install -Iv PyMySQL==0.10.1

MySQLコマンダープラグインにはPyMySQLプラグインバージョン0.10.1が必要で、それより新しいバージョンはサポートされていません。

ローテーション用のレコードを準備

MySQLのユーザー名とパスワードを格納するレコードを作成

KeeperボルトのUIまたはKeeperコマンダーを使用してレコードを作成します。

ボルトUI

Keeperボルトでのレコードの作成

コマンダーのローテーションは、すべてのレコードタイプをサポートしています。レコードには「ログイン」フィールドが必要です。

レコードのホストとポートを設定

タイプ指定されていないレコードを使用する場合は、ホストとポートをカスタムフィールドに設定できます。以下をご参照ください。

コマンダーは、ポート番号が3306のレコード、またはホスト名が「mysql//」で始まるレコードに対してmysqlプラグインを自動的に使用します

ログインとパスワードの値を現在のデータベースユーザーの値に設定します

コマンダーは、ログインとパスワードを使用してMySQLアカウントにログインします

コマンダー

add type="databaseCredentials" title="MySQL Example" f.host.hostName="127.0.0.1" f.host.port="3306" f.login
="DBAdmin Smith" f.password="XXX"

「XXX」をこのユーザーの現在のデータベースパスワードに置き換えます

オプションのカスタムフィールド

ラベル	値	コメント
cmdr:plugin	mysql	MySQLローテーションを使用するようにコマンダーに指示します これは、レコードに設定するか、またはローテーションコマンドに指定する必要があります
cmdr:host		MySQL serverのホスト名。レコードのホストフィールドで設定されていない場合は、ここで設定できます
cmdr:rules	「大文字の数, 小文字の数, 数字の数, 記号の数」 （たとえば、4,6,3,8）	パスワード生成ルール
cmdr:port		MySQLのポート。省略した場合は3306と見なされます レコードのホストフィールドで設定されていない場合は、ここで設定できます
cmdr:user_host		ユーザーホスト。省略した場合は「%」と見なされます

ボルトUI

ボルトのUIにカスタムフィールドを追加

コマンダー

コマンダーバージョンが4.88より新しい場合

 edit -r "MySQL Example" --custom '{"cmdr:plugin":"mysql", "cmdr:host":"SQL"}'

コマンダーバージョン4.88以前の場合

edit "MySQL Example" --custom '{"cmdr:plugin":"mysql", "cmdr:host":"SQL"}'

editコマンドの詳細は、コマンドマニュアルをご参照ください。

パスワードのローテーション

UIDレコードの取得

ボルトUI

レコードの情報のポップアップでUIDを検索

UIDレコードをクリックしてクリップボードにコピー

コマンダー

My Vault> search "MySQL Example"

  #  Record UID              Type    Title    Login    URL
---  ----------------------  ------  -------  -------  -----
  1  am4TuwGrDpn8NhrGPBAWKw  login   rtt      rotate


                 UID: am4TuwGrDpn8NhrGPBAWKw
               Title: rtt
               Login: rotate
                text: ['mysql']
                text: ['127.0.0.1']

searchコマンドを使用して、レコードのUIDを検索します。 「MySQL Example」をレコードの名前に置き換えます。

ローテーションを実行

MySQLのパスワードをローテーションするには、コマンダーでrotateコマンドを使用します。 コマンドにレコードタイトルもしくはUIDを渡します (複数のレコードを1度にローテーションさせるには、正規表現で--matchを使用します)

rotate "MySQL Example" --plugin mssql

プラグインは、こちらに示すようにコマンドに指定することも、レコードのフィールドに追加することも、ポート番号や"mysql://"で始まるホストに基づいて自動的に割り当てることもできます (上記のオプションを参照)。 レコードにプラグインタイプを追加すると、プラグインの異なる複数のレコードを1度にローテーションできます。

出力

ローテーションが完了すると、新しいパスワードがレコードのパスワードフィールドに格納されます

Keeperコマンダーのconnectコマンドとの連携

カスタムフィールド名	カスタムフィールド値
connect:xxx:env:MYSQL_PWD	${password}
connect:xxx	mysql -u${login} -h${cmdr:host}

xxxは、コマンドラインで接続する際に参照できる「分りやすい名前」を示します。

このユースケースのKeeperボルトのレコードのスクリーンショットを以下に示します。

コマンダーの「connect」コマンドと使用するKeeperのレコードの設定

connectコマンドの詳細については、こちらのページをご参照ください。