Azure App Gateway (高度な設定)
Azure App Gatewayサービスを使用してKeeper AutomatorをAzure Container Instancesにデプロイ
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FAzure%2520Container%2520Service.jpg&width=768&dpr=4&quality=100&sign=320ad982&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252Fz8OxTvYgVGNFlKs7mBGw%252FAzure%2520Container%2520Service.jpg%3Falt%3Dmedia%26token%3D4b089185-96f2-4117-ac64-cd5ecbc763b9&width=768&dpr=4&quality=100&sign=9dea6d6a&sv=1)
概要
本ガイドでは、Azure Application Gatewayを使用して安全なVNetでKeeper Automatorを公開するための手順を解説します。この方式は、Azureコンテナーアプリの設定よりも高度となりますので、Azure App Gatewayや暗号化されたSAMLリクエストを使用する必要がない場合は、Azureコンテナーアプリ方式をご使用ください。
この方式では、すでにSSL証明書をお持ちであることを確かにしてください。お持ちでない場合は、カスタムSSL証明書ページの手順をご参照ください。
手順
(1) Azureクラウドシェルを開く
portal.azure.comにログインし、クラウドシェルのアイコンをクリックします。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2Faz%2520cloudshell.png&width=768&dpr=4&quality=100&sign=70d2fbf8&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FzF8Bky4JB8EVN4VPh2Cx%252Faz%2520cloudshell.png%3Falt%3Dmedia%26token%3D70b95ce4-34eb-44ee-b1d1-5636b6233df7&width=768&dpr=4&quality=100&sign=eb50ac0d&sv=1)
(2) ご希望の地域でリソースグループを作成
Azureにリソースグループがまだ存在しない場合は作成します。こちらの例ではeastusの地域を使用していますが、必ずお客様の地域をご使用ください。
(3) ストレージアカウントの作成
ストレージアカウントがまだ存在しない場合は作成します。正しい地域(useeast)と上のリソースグループ名を使用するようにします。注: keeperautomatotorstorageを置き換えるのに選択する名前は、azureではグローバルで他に存在しないものである必要があります。
(4) ファイルシェアの作成
ファイルシェアが存在しない場合は作成します。
現在のシェアを表示します。
(5) コンテナー用にバーチャルネットワーク(VNet)と1件のSubnetを作成
(6) バーチャルネットワークをサービスエンドポイントで更新
(7) ストレージキーの取得
アカウントのストレージキーを見つけるには以下のコマンドを使用します。 ストレージアカウント名は実際の名前に置き換えます。
以下のようなkey1の値をコピーします。
(8) サブネットIDの取得
サブネットIDを見つけるには以下のコマンドを実行します。
サブネットIDのパスを _subnetで終わるところまで全部コピーします。以下はその例です。
(9) YAMLコンテナーファイルの作成
ローカルで、automator
などの名前でフォルダを作成します。
任意のエディタを使用して、そのフォルダー内に以下の内容を含むautomator.ymlというファイルを作成します。
前の手順の設定に基づいて文字列の値を変更する必要がある箇所が複数あります。
サブネットID は、手順8で取得したIDのフルパスと一致する必要があります。
storageAccountNameは手順3の値と一致する必要があります。
storageAccountKeyは手順7の値と一致する必要があります。
(10) SSL証明書とSSLパスワードファイルのアップロード
Azureインターフェイスから、[リソース グループ] > [ストレージ アカウント] > [ファイルシェア]に移動し、作成したAutomatorファイルシェアに移動します。ここから、automator.ymlファイル、SSL証明書ファイル、SSL証明書パスワードファイルをアップロードします。
ファイルの名前が automator.yml ssl-certificate.pfx および ssl-certificate-password.txt であることを確認してください。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreenshot%25202022-11-11%2520at%25204.03.20%2520PM.png&width=768&dpr=4&quality=100&sign=d18c3644&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FcvlNeJtARKj7ASAJq2mU%252FScreenshot%25202022-11-11%2520at%25204.03.20%2520PM.png%3Falt%3Dmedia%26token%3Dac47734a-781e-4808-9775-1759adfc5a46&width=768&dpr=4&quality=100&sign=e606b9bb&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreenshot%25202022-11-11%2520at%25204.05.11%2520PM.png&width=768&dpr=4&quality=100&sign=e2fe9e12&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FWWMhLO4wBI8tG1bGuP7l%252FScreenshot%25202022-11-11%2520at%25204.05.11%2520PM.png%3Falt%3Dmedia%26token%3D680fe886-afaf-453b-a465-6b13195e5a6a&width=768&dpr=4&quality=100&sign=2581e054&sv=1)
(11) 3つのファイルをローカルのCLIワークスペースにコピーします
(12) コンテナーインスタンスの作成
automator.ymlの設定を使用してコンテナーを作成します。
応答でコンテナの内部IPを取得します。
後で使用するために、このIPの変数を設定します。以下はその例となります。
(13) アプリケーションゲートウェイサブネットの作成
(14) アプリケーションゲートウェイの作成
XXXXXXの箇所でSSL証明書のパスワードが置き換えられていることを確かにします。
(15) パブリックIPを見つける
Azure portalのインターフェイスで、[リソースグループ] > [アプリゲートウェイ]に移動し、パブリックIP アドレスをメモします。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2Fpublic_ip.jpg&width=768&dpr=4&quality=100&sign=d958911a&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FerUygxz7f6d7OO1OkCwE%252Fpublic_ip.jpg%3Falt%3Dmedia%26token%3Dd7a6f9dc-16a6-4344-95bc-d53de1a65e6d&width=768&dpr=4&quality=100&sign=32a4dfb2&sv=1)
(16) DNSのルーティング
AutomatorサービスのDNS(例: automator.company.com)が、Azureコンテナーサービスが手順 15で生成したIPアドレスを指していることを確かにします。
DNS名は SSL 証明書のサブジェクト名と一致する必要があります。一致しない場合、リクエストは失敗します。
(17) 正常性プローブの作成
正常性プローブは、Automatorサービスが実行されていることをApp Gatewayに通知します。Azure portalのインターフェイスからAutomator App Gatewayを開き、左側のメニューから[正常性プローブ]をクリックします。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreenshot%25202022-11-11%2520at%25205.15.20%2520PM.png&width=768&dpr=4&quality=100&sign=cf5b760a&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252F1QFA3XvfeFMFrIFX6WZo%252FScreenshot%25202022-11-11%2520at%25205.15.20%2520PM.png%3Falt%3Dmedia%26token%3Dd008b79e-bf7a-4d4f-aac9-dc557c697078&width=768&dpr=4&quality=100&sign=b444a7d5&sv=1)
次に、以下のスクリーンショットに見られる設定で新しい正常性プローブを作成します。必ずホストを手順 6で設定したFQDNに置き換えます。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreenshot%25202022-11-11%2520at%25205.17.29%2520PM.jpg&width=768&dpr=4&quality=100&sign=bb9f96f7&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FdLCwh2FuwKxYYetPcEjJ%252FScreenshot%25202022-11-11%2520at%25205.17.29%2520PM.jpg%3Falt%3Dmedia%26token%3De369cf64-51b0-48ab-872a-fb6a40a85347&width=768&dpr=4&quality=100&sign=91363b54&sv=1)
[テスト]をクリックしてプローブを追加します。コンテナIPがホスト名に適切にアドレス指定されていれば、テストは成功します。
(18) ウェブアプリケーションファイアウォールの設定
Azure portalのインターフェイスからAutomator App Gatewayを開き、左側の[ウェブアプリケーションファイアウォール] をクリックします。 WAF V2を有効にして以下の画面のように設定します。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreen%2520Shot%25202023-02-28%2520at%25202.31.27%2520PM.jpg&width=768&dpr=4&quality=100&sign=ef37c698&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FceDRggjr6vfKIUJ5BOIZ%252FScreen%2520Shot%25202023-02-28%2520at%25202.31.27%2520PM.png%3Falt%3Dmedia%26token%3D6e1a415f-23e2-440f-9fe1-13a4a1797032&width=768&dpr=4&quality=100&sign=b654714a&sv=1)
[ルール]タブをクリックし、[OWASP 3.2]に設定されたルールを選択して、[有効]および[保存]をクリックします(重要な手順となります)。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2Ffirewall2.jpg&width=768&dpr=4&quality=100&sign=249abd41&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FOJt2sCgbJtYVPccL6qMY%252Ffirewall2.jpg%3Falt%3Dmedia%26token%3Dd47e2459-f4bc-4944-9e27-4ef757904746&width=768&dpr=4&quality=100&sign=79ceeb93&sv=1)
🎉 Azure内でのインストールは完了です。
最後にKeeper Commenderを使ってAutomatorの設定を行います。
(19) Keeper Commanderのインストール
この時点では、サービスは実行されていますがまだKeeperとは通信ができません。
ワークステーション、サーバー、コンピューターのどれかにKeeper Commander CLIをインストールします。初期設定にのみ使用します。バイナリインストーラーを含むインストール手順についてはこちらをご覧ください。 Commanderを開いた後、loginコマンドでログインします。AutomatorをセットアップするにはKeeper 管理者、またはSSOノードを管理する権限を持つ管理者としてログインする必要があります。
(20) Commanderでの初期設定
Keeper Commanderにログインし、automator createで始まる一連のコマンドを使用してAutomatorを有効にします。
ノード名 (この場合はAzure Cloud) は、以下のように管理コンソールのUIから取得します。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreen%2520Shot%25202021-09-10%2520at%25203.59.58%2520PM.png&width=768&dpr=4&quality=100&sign=865a954d&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FC6oIjbtwyKbIUJp0MvcZ%252FScreen%2520Shot%25202021-09-10%2520at%25203.59.58%2520PM.png%3Falt%3Dmedia%26token%3Dd72376f6-f3ad-4d72-91a1-ea0d2d6079d6&width=768&dpr=4&quality=100&sign=fe36807c&sv=1)
コマンドの出力には、IDプロバイダからのメタデータを含むAutomator設定が表示されます。
URLはまだ入力されていません。選択したFQDNを使用してURLを編集します。
次に、キーを交換します。Automator公開キーで暗号化されたエンタープライズ秘密キーがAutomator に提供されます。
新しい設定でAutomatorを初期化します。
サービスを有効にします。
この時点で設定は完了です。
自動ヘルスチェックには以下のURLをご使用になれます。
https://<server>/health
以下はcurl
コマンドを使用した例です。
当URLはWebブラウザでは開きません。
(21) AD FSを使用した環境の場合
IDプロバイダとしてAD FSを使用してKeeper Automatorを有効にする場合、以下の手順に従ってKeeper 証明書を更新するまでログインできません。
Keeper管理コンソールへログインします。
[管理] > [SSOノード] > [プロビジョニング]に移動し、SSOクラウド設定を見ます。
[Export SP Cert]をクリックします。
AD FS管理コンソールで、Keeper Cloud SSO証明書利用者信頼プロパティを選択します。
[暗号化]タブで、古い証明書をこの新しい証明書に置き換えます。
[署名]タブで、新しいSP証明書をこの新しい証明書に置き換えます。
セットアップは完了です。
これでAutomatorサービスが実行された状態になりました。
Azure Portal
Azure Portalの「コンテナーインスタンス」システムで、コンテナーが実行されているのを確認できます。 /bin/shを使用してコンテナーに接続し、実行ログを表示することもできます。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreenshot%25202022-11-11%2520at%25205.31.41%2520PM.jpg&width=768&dpr=4&quality=100&sign=dfe2c741&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FRtYhWlAe9YLIrcZOblwk%252FScreenshot%25202022-11-11%2520at%25205.31.41%2520PM.jpg%3Falt%3Dmedia%26token%3D6fc0b401-6eda-49bb-a6cf-4e830b43350c&width=768&dpr=4&quality=100&sign=963848c4&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2Fgithub.com%2FKeeper-Security%2Fgitbook-sso-connect-cloud-jp%2Fblob%2Fmaster%2F.gitbook%2Fassets%2FScreen%2520Shot%25202022-08-08%2520at%252011.27.41%2520PM.png&width=768&dpr=4&quality=100&sign=3c30bf0e&sv=1)
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FlJdCmcODq0ybzgaehzvM%252FScreen%2520Shot%25202022-08-08%2520at%252011.27.41%2520PM.png%3Falt%3Dmedia%26token%3D88d5f10b-2578-49d2-86f5-54d1c8b4d18e&width=768&dpr=4&quality=100&sign=2f32b36&sv=1)
コンテナーの再起動時にIPを更新
この設定に基づいてコンテナーを再起動すると、/24サブネットから新しい IP アドレスが割り当てられることがあります。新しいIPをすばやく見つけて、正しいIPでApplication Gatewayバックエンドプールを更新するには、Azure CLIから以下のスクリプトを実行します。
Automatorサービスのテスト
Keeper Automatorがデプロイされましたので、エンドユーザー体験のテストが可能です。ユーザーが SSO IDプロバイダーで認証した後は、承認を求めるプロンプトは必要ありません。
最も簡単なテスト方法は、ブラウザでシークレットモードのウィンドウを開いてKeeperウェブボルトへアクセスし、SSOクラウドでログインすることとなります。デバイスの承認を求めるプロンプトが表示されない場合、Automatorが正常に機能しています。
最終更新