シークレットマネージャー

AWS RDS for Oracle

Keeperを使用したAWS Oracle Databaseの管理者/通常ユーザーのローテーション

概要

このガイドでは、Keeper Rotationを使用して、AWS環境でAWS Oracle Databaseのユーザーアカウントと管理者アカウントのパスワードをローテーションする方法について説明します。RDS for OracleはAWSのマネージドリソースで、Oracleの管理者のクレデンシャルがPAMデータベース記録タイプで定義され、Oracleユーザーの設定がPAMユーザー記録タイプで定義されています。

Amazon RDSでは、AWS SDKを使用してデータベース管理者アカウントのパスワードをローテーションします。通常のデータベースユーザーのパスワードをローテーションするために、Keeperは指定された管理者クレデンシャルを使用してDBインスタンスに接続し、パスワードの変更に必要なSQLステートメントを実行します。AWS環境でのローテーションプロセスの大まかな概要は、こちらのページをご参照ください。

前提条件

このガイドでは、以下の作業がすでに実行されていることを前提としています。

  • Keeper Secrets Managerが企業およびロールに対して有効になっていること

  • Keeper Rotationがご利用のロールに対して有効になっていること

  • Keeper Secrets Managerアプリケーションが作成済みであること

  • Keeper Rotationゲートウェイがすでにインストールされて動作しており、AWS Oracle Databaseと通信できること

  • AWS環境がKeeperのドキュメントに従って設定されていること

1.PAMデータベース記録を設定

PAMデータベース記録には、管理者のクレデンシャルと、AWSのOracle RDSインスタンスに接続するために必要な設定が含まれています。Keeper Rotationは、これらの指定された設定を使用して、Oracle RDSインスタンスの通常のデータベースユーザーアカウントのパスワードをローテーションします。指定されたこれらの管理者のクレデンシャルには、データベースユーザーアカウントのクレデンシャルを正常に変更するための十分なデータベースアクセス権も必要です。

以下は、PAMデータベース記録の必須フィールドとなります。

注: プロバイダリージョンとデータベースIDを追加すると、SDKを使用してPAMデータベース記録を管理できるようになります。

管理者のクレデンシャルを含むこのPAMデータベース記録は、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません

2. PAMの設定を指定

AWS環境のPAM設定が作成済みの場合は、データベースユーザーのローテーションに必要なその他のリソースクレデンシャルを既存のPAM設定に追加すればよいだけです。

新しいPAM設定を作成する場合は、Keeperボルトにログインし、左側のメニューから[Secrets Manager]、[PAM設定]タブの順に選択して、[新規設定]をクリックします。

以下は、PAM設定記録の必須フィールドとなります。

PAMネットワーク設定記録の設定可能なすべてのフィールドの詳細は、こちらのページをご参照ください。

3. PAMユーザー記録を設定

Keeper Rotationは、PAMデータベース記録のクレデンシャルを使用して、AWS環境のPAMユーザー記録をローテーションします。PAMユーザーのクレデンシャルは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。

以下は、PAMユーザー記録の必須フィールドとなります。

4.記録のローテーションを設定 - AWS Oracleデータベースユーザー

手順3で設定したPAMユーザーの記録を選択し、その記録を編集して[パスワードローテーション設定]を開きます。

  • 適切なスケジュールとパスワードの複雑さを選択します。

  • [ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。

  • [リソースクレデンシャル]フィールドで、手順1で設定されたPAMデータベースクレデンシャルを選択する必要があります。

  • 保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。

PAMユーザーの記録に対するedit権限を持つユーザーならだれでも、その記録のローテーションを設定できます。

ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。

5.記録のローテーションを設定 - AWS Oracleデータベース管理者

手順1で設定したPAMデータベースの記録を選択し、その記録を編集して[パスワードローテーション設定]を開きます。

  • 適切なスケジュールとパスワードの複雑さを選択します。

  • [ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。

  • [リソースクレデンシャル]フィールドで、手順1で設定されたPAMデータベースクレデンシャルを選択する必要があります。

  • 保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。

ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。

前へAWS RDS for MariaDB次へローカルネットワーク

最終更新