AWS RDS for Oracle
Keeperを使用したAWS Oracle Databaseの管理者/通常ユーザーのローテーション
最終更新
Keeperを使用したAWS Oracle Databaseの管理者/通常ユーザーのローテーション
最終更新
このガイドでは、Keeperローテーションを使用して、AWS環境でAWS Oracle Databaseのユーザーアカウントと管理者アカウントのパスワードをローテーションする方法について説明します。RDS for OracleはAWSのマネージドリソースで、Oracleの管理者のクレデンシャルがPAMデータベースレコードタイプで定義され、Oracleユーザーの設定がPAMユーザーレコードタイプで定義されています。
Amazon RDSでは、AWS SDKを使用してデータベース管理者アカウントのパスワードをローテーションします。通常のデータベースユーザーのパスワードをローテーションするために、Keeperは指定された管理者クレデンシャルを使用してDBインスタンスに接続し、パスワードの変更に必要なSQLステートメントを実行します。AWS環境でのローテーションプロセスの大まかな概要は、こちらのページをご参照ください。
このガイドでは、以下の作業がすでに実行されていることを前提としています。
Keeperローテーションがご利用のロールに対して有効になっていること
Keeperシークレットマネージャーアプリケーションが作成済みであること
Keeperローテーションゲートウェイがすでにインストールされて動作しており、AWS Oracle Databaseと通信できること
AWS環境がKeeperのドキュメントに従って設定されていること
PAMデータベースレコードには、管理者のクレデンシャルと、AWSのOracle RDSインスタンスに接続するために必要な設定が含まれています。Keeperローテーションは、これらの指定された設定を使用して、Oracle RDSインスタンスの通常のデータベースユーザーアカウントのパスワードをローテーションします。指定されたこれらの管理者のクレデンシャルには、データベースユーザーアカウントのクレデンシャルを正常に変更するための十分なデータベースアクセス権も必要です。
以下は、PAMデータベースレコードの必須フィールドとなります。
フィールド | 説明 |
---|---|
タイトル | Keeperのレコードタイトル 例: |
ホスト名またはIPアドレス | RDSエンドポイント ( |
ポート | RDSポート、デフォルトポートはポートマッピングを参照
すなわち |
SSLの使用 | データベースにSSLが設定されている場合は、接続する前にSSL検証を実行することを確認します |
ログイン | ローテーションを実行する管理者アカウントのユーザー名 |
パスワード | 管理者アカウントのパスワード |
接続データベース | データベースサーバーに接続するときに使用されるオプションのデータベース。 |
データベースID | AWS DBインスタンスID |
データベースタイプ |
|
プロバイダリージョン | Amazon RDSインスタンスが使用しているリージョン ( |
注: プロバイダリージョンとデータベースIDを追加すると、SDKを使用してPAMデータベースレコードを管理できるようになります。
管理者のクレデンシャルを含むこのPAMデータベースレコードは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません
AWS環境のPAM設定が作成済みの場合は、データベースユーザーのローテーションに必要なその他のリソースクレデンシャルを既存のPAM設定に追加すればよいだけです。
新しいPAM設定を作成する場合は、Keeperボルトにログインし、左側のメニューから[Secrets Manager]、[PAM設定]タブの順に選択して、[新規設定]をクリックします。
以下は、PAM設定レコードの必須フィールドとなります。
フィールド | 説明 |
---|---|
タイトル | 設定名、例: |
環境 | 選択: |
ゲートウェイ | Keeperシークレットマネージャーアプリケーションで設定され、Oracle RDSインスタンスにネットワークでアクセスできるゲートウェイを選択します |
アプリケーションフォルダ | 手順1のPAMデータベースレコードを含む共有フォルダを選択します |
管理者クレデンシャルレコード | 手順1で作成したPAMデータベースレコードを選択します これは、管理者のクレデンシャルが格納された、通常のデータベースユーザーアカウントのクレデンシャルをローテーションするための十分な権限を持つレコードです |
AWS ID | AWSのこのインスタンスの一意のID。これは参考用のため、何を指定してもよいですが、短くすることをお勧めします
例: |
アクセスキーID | EC2ロールポリシー (デフォルト) を使用している場合は、このフィールドを |
シークレットアクセスキー | EC2ロールポリシー (デフォルト) を使用している場合は、このフィールドを |
PAMネットワーク設定レコードの設定可能なすべてのフィールドの詳細は、こちらのページをご参照ください。
Keeperローテーションは、PAMデータベースレコードのクレデンシャルを使用して、AWS環境のPAMユーザーレコードをローテーションします。PAMユーザーのクレデンシャルは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。
以下は、PAMユーザーレコードの必須フィールドとなります。
フィールド | 説明 |
---|---|
タイトル | Keeperのレコードタイトル ( |
ログイン | ローテーションするアカウントの大文字と小文字の区別があるユーザー名。DBユーザーテーブルのユーザーのHost値が%以外の場合は、 |
パスワード | アカウントパスワードはオプションです。空白の場合はローテーションで設定されます |
接続データベース | データベースサーバーに接続するときに使用されるオプションのデータベース。 たとえば、PostgreSQLはデータベースを必要とするため、デフォルトでtemplate1となります |
手順3で設定したPAMユーザーのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。
適切なスケジュールとパスワードの複雑さを選択します。
[ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。
[リソースクレデンシャル]フィールドで、手順1で設定されたPAMデータベースクレデンシャルを選択する必要があります。
保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。
PAMユーザーのレコードに対するedit
権限を持つユーザーならだれでも、そのレコードのローテーションを設定できます。
ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。
手順1で設定したPAMデータベースのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。
適切なスケジュールとパスワードの複雑さを選択します。
[ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。
[リソースクレデンシャル]フィールドで、手順1で設定されたPAMデータベースクレデンシャルを選択する必要があります。
保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。
ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。