シークレットマネージャーコマンド

Keeperシークレットマネージャープラットフォームを設定および管理するコマンド

概要

Keeperシークレットマネージャーは、DevOpsチームとエンジニアリングチームが特権アカウントへのアクセスを一元的に管理および制御するための、クラウドベースのゼロ知識プラットフォームです。以下は、シークレットマネージャーの一般的な使用例となります。

• ソースコード、設定ファイル、CI/CDシステムからのハードコードされたクレデンシャルの削除
• 特権パスワード、APIキー、およびその他の管理対象シークレットへのアクセス保護
• マシンやアプリケーションへのボルトアクセスの提供
• オンデマンドで、またはスケジュールを組んでサービスアカウントの認証情報をローテーション

Keeperシークレットマネージャーでは、Keeperボルト内の特定のフォルダにアクセスする必要のある各対象環境に対して「アプリケーション」が作成されます。 アプリケーションに対して、ボルト内の1つまたは複数の共有フォルダやレコードへのアクセス権を付与できます。アプリケーションは、1つまたは複数の「クライアント」から利用できます。クライアントはシークレットマネージャーインフラストラクチャによって個別に認証および管理されます。

たとえば、Keeperの「アプリケーション」が運用システムとなり、運用システム内の個々のウェブサーバーがクライアントになる場合もあります。各クライアントは、リクエストの署名に使用するクライアントIDと秘密鍵を使用して、Keeperボルトに対して認証されて通信します。

本ページのコマンドを使用して、Keeperシークレットマネージャーアプリケーションとクライアントデバイスを設定します。

Keeperシークレットマネージャーのコマンド

対話型シェル、CLI、JSON構成ファイルのいずれを使用する場合でも、以下のコマンドがサポートされており、各コマンドでは追加のパラメータとオプションがご利用になれます。

特定のコマンドに関するヘルプを表示するには、以下のように入力します。

help <コマンド名>

secrets-manager コマンド形式

Keeperシークレットマネージャーのコマンドは、以下の形式に従います。

secrets-manager <コマンド> <サブコマンド>

たとえば、すべてのアプリケーションを一覧表示するには、以下のコマンドを実行します。

secrets-manager app list

以下は、すべてのsecrets-managerコマンドとその詳細の一覧です。

コマンド	説明
secrets-manager app list	アプリケーション一覧を表示。App UID、最終アクセス日時、割り当てられたレコード/フォルダ数を確認可能。
secrets-manager app get	アプリケーションの詳細情報 (デバイス情報を含む) を取得。
secrets-manager app create	新しいアプリケーションを作成。
secrets-manager app remove	アプリケーションを削除。
secrets-manager app share	アプリケーションおよび関連ゲートウェイ/構成を他のユーザーと共有。
secrets-manager app unshare	ユーザーからアプリケーションの共有を解除。
secrets-manager client add	アプリケーションに関連付けられたデバイスまたはマシンIDを作成。
secrets-manager client remove	デバイスを削除。
secrets-manager client revoke	クライアントIDを基にデバイスを失効させる。
secrets-manager share add	フォルダまたはレコードをアプリケーションに関連付け。
secrets-manager share remove	アプリケーションからフォルダまたはレコードの関連付けを解除。
secrets-manager app update	既存のシークレットマネージャーアプリケーションの名前を変更。
secrets-manager share update	アプリケーションに関連付け済みのシークレット (レコードまたは共有フォルダ) のアクセス権限を更新。
secrets-manager usage	使用状況の統計 (合計、詳細、デバイス別、サマリー、タイムライン) および課金サイクルの日付を表示。

---

APIフローの例

以下は、アプリケーションの作成、シークレットの割り当て、マシンデバイスの作成を行う一連のAPI操作例です。

アプリケーションを作成

secrets-manager app create <APPLICATION NAME>

My Vault> secrets-manager app create MyApplication

新しいシークレットを作成

ボルトのユーザーインターフェースから実行できますが、ここではシークレットを作成し、共有フォルダを作成してから、そのシークレットを共有フォルダに移動することにします。以下はコマンドの例です。

My Vault> add --login admin --pass "46$$625" --url "192.168.1.1" -t "Test Secret"
My Vault> mkdir -sf -a "My Shared Folder"
My Vault> mv "Test Secret" "My Shared Folder"

フォルダをシークレットマネージャーアプリケーションで共有

My Vault> secrets-manager share add --app MyApplication --secret n4QtaKjRjhWMz5aS7bT77Q

共有フォルダまたはレコードUIDを検索するには、「ls -l」コマンドまたは「info」ダイアログのボルトのユーザーインターフェースを使用します。

クライアントにアプリケーションへのアクセスを許可

My Vault> secrets-manager client add MyApplication

このコマンドの出力から、クライアントで使用するワンタイムアクセストークンが得られます。

すべてのアプリケーションの一覧を取得

secrets-manager app list

My Vault> secrets-manager app list

List of all Applications

Title      Uid
---------  ----------------------
PythonApp  oXMfwo-hzZNRqMXGvJlccQ
TestApp    KtU4eAzor5IpqRW3x4A8FA

個々のアプリケーションの詳細を表示

secrets-manager app get <APPLICATION NAME|APP UID>

My Vault> secrets-manager app get MyApplication

Secrets Manager Application
App Name:MyApplication
App UID: ji__h4gaY3xvQdatVY_ffA

Client Device 1
=============================
  Name:Device1
  Short ID: nWThUIbR
  Created On:2021-10-11 16:26:21
  First Access:2021-10-11 16:27:05
  Last Access:2021-10-11 16:49:47
  IP Lock:Disabled
  IP Address: --

Application Access
Share Type    UID                     Title                   Permissions
------------  ----------------------  ----------------------  -------------
FOLDER        J6xMIXKiwMqIyYJL7kd3xw  Secrets                 Editable
RECORD        mux0ZaWKd-h8maggFzy1rw  Database Login          Read-Only

コマンド

secrets-manager app createコマンド

• コマンド secrets-manager app create
• 概要 クライアントをシークレットに関連付けるために使用する新しいアプリケーションを作成します
• パラメータ

  • アプリケーションの名前

使用例

My Vault> secrets-manager app create PythonApp
Application was added successfully

secrets-manager app getコマンド

• コマンド secrets-manager app get
• 概要 指定したアプリケーションと、そのアプリケーションへのアクセスがあるユーザーに関する情報を表示します。
• パラメータ

  • アプリケーションの名前またはUID

使用例

My Vault> secrets-manager app get PythonApp

Secrets Manager Application
App Name:PythonApp
App UID: ji__hxgaY3xvQdefVY_ffA

Client Device 1
=============================
  Name:Device1
  Short ID: nWThUIbR
  Created On:2021-10-11 16:26:21
  First Access:2021-10-11 16:27:05
  Last Access:2021-10-11 16:49:47
  IP Lock:Disabled
  IP Address: --
  
Application Users
Username                        Role    Editable  Shareable
------------------------------  ------  --------  ---------
[e-mail]                Owner   Yes       Yes

Application Access
Share Type    UID                     Title                   Permissions
------------  ----------------------  ----------------------  -------------
FOLDER        J62WIXgJwMqIyYJL7kd3xw  Secrets                 Editable
RECORD        mux0ZaWKd-vpmaggFzLkrw  Database Login          Read-Only

secrets-manager app removeコマンド

• コマンド secrets-manager app remove
• 概要 アプリケーションを削除します
• パラメータ

  • アプリケーションの名前またはUID

使用例

My Vault> secrets-manager app remove PythonApp

This Application (uid:2lj-PaoQp281mTV7GWK5Bw) has 5 client(s), 1 shared folder(s), and 10 record(s).
	Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:2lj-PaoQp281mTV7GWK5Bw

My Vault> secrets-manager app remove KtU4eAzor5IpqRW3x4A8FA
This Application (uid:KtU4eAzor5IpqRW3x4A8FA) has 12 client(s), 1 shared folder(s), and 4 record(s).
	Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:KtU4eAzor5IpqRW3x4A8FA

secrets-manager app shareコマンド

アプリケーションを他のユーザーと共有することで、そのユーザーは関連するゲートウェイ、デバイス、フォルダへのアクセスが可能になります。

• コマンド secrets-manager app share
• 概要 アプリケーションと、それに関連するゲートウェイおよび構成を別のユーザーと共有します。
• パラメータ

  • アプリケーションの名前またはUID
  • 共有相手のメールアドレス

使用例

secrets-manager app share KtU4eAzor5IpqRW3x4A8FA --email [e-mail]

secrets-manager app unshareコマンド

• コマンド secrets-manager app unshare
• 概要 指定したユーザーに対するアプリケーションの共有を解除します。
• パラメータ

  • アプリケーションの名前またはUID
  • 共有を解除する対象ユーザーのメールアドレス

使用例

secrets-manager app unshare KtU4eAzor5IpqRW3x4A8FA --email [e-mail]

secrets-manager app listコマンド

• コマンド secrets-manager app list
• 概要 すべての作成済みアプリケーションを一覧表示します

使用例

My Vault> secrets-manager app list

List of all Applications

Title      Uid
---------  ----------------------
PythonApp  oXMfwo-hzZNRqMXGvJlccQ
TestApp    KtU4eAzor5IpqRW3x4A8FA

secrets-manager share addコマンド

• コマンド secrets-manager share add
• 概要 シークレット (レコードまたは共有フォルダ) をアプリケーションに追加します
• スイッチ

  • --secret、-s <シークレットのUID> 共有するシークレット。フォルダまたはレコードUIDを指定できます
  • --app、-a 共有先のアプリケーション
  • --editable、-e レコードの編集を許可します

使用例

My Vault> secrets-manager share add --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Successfully added new record uid=E7YS6Yqmhsip52DzwdC9gw to app uid=oXMfwo-hzZNRqMXGvJlccQ

secrets-manager share removeコマンド

• コマンド secrets-manager share remove
• 概要 シークレット (レコードまたは共有フォルダ) をアプリケーションから削除します
• スイッチ

  • --secret、-s <シークレットのUID> 削除するシークレット。フォルダまたはレコードUIDを指定できます
  • --app、-a 対象のアプリケーション

使用例

My Vault> secrets-manager share remove --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Secret share was successfully removed from the application

secrets-manager client addコマンド

• コマンド secrets-manager client add
• 概要 アプリケーションへの接続に使用するクライアントをアプリケーションに追加します。このコマンドの出力は、シークレットマネージャーSDKを使用してクライアントデバイスを初期化するために使用するワンタイムトークンです。
• スイッチ

  • --name <クライアント名> クライアント名 (デフォルトはランダムな10文字)
  • --first-access-expires-in-min <分> 初回アクセスの有効期間 (デフォルトは60、最大は1440)
  • --access-expire-in-min <分> クライアントアクセスの有効期間 (デフォルトは無期限)
  • --unlock-ip 最初に要求するデバイスに対してIPアドレスをロックしません
  • --count <数> 生成するトークンの数 (デフォルトは1)
  • --config-init <{json、b64、k8s}> ワンタイムトークンから設定文字列を初期化します

使用例 1

「Test 1」という名前の新しいデバイスを作成し、ワンタイムアクセストークンを生成します。

My Vault> sm client add --app Ansible --name "Test 1"

Successfully generated Client Device
====================================
One-Time Access Token:US:_wYNCeeLmBSdDgkcE77NyMcO-6DqLutNO1NylWVyco
Name:Test 1
IP Lock:Enabled
Token Expires On:2021-09-30 22:52:46
App Access Expires on:Never

使用例 2

「Test 2」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたJSON設定ファイルを生成します。この設定ファイルは、デバイスに直接読み込めます。

My Vault> sm client add --app Ansible --name "Test 2" --unlock-ip --config-init=json                                                                                    

Successfully generated Client Device
====================================

Initialized Config: {"hostname": "keepersecurity.com","clientId":"XXX","privateKey":"XXX","serverPublicKeyId":"10","appKey":"XXX"}
Name:Test 2
IP Lock:Disabled
Token Expires On:2021-09-30 22:54:11
App Access Expires on:Never

使用例 3

「Test 3」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたbase64設定文字列を生成します。この設定ファイルは、JSON設定ファイルを使用する代わりに、単一の文字列としてデバイスに読み込めます。

My Vault> sm client add --app Ansible --name "Test 3" --unlock-ip --config-init=b64                                                                                    

Initialized Config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
Name:Test 3
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Never

使用例 4

「Test 4」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたKubernetes設定を生成します。YAML出力は、ファイルにカットアンドペーストして適用し、Kubernetesシークレットとして作成できます。

My Vault> sm client add --app Nginx --name "Test 4" --unlock-ip --config-init=k8s                                                                                

apiVersion: v1
data:
  config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
kind:Secret
metadata:
  name: ksm-config
  namespace: default
type:Opaque

Name:Test 4
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Never

secrets-manager client removeコマンド

• コマンド secrets-manager client remove
• 概要 アプリケーションからクライアントを削除します
• スイッチ

  • --client アプリケーションから削除するクライアント
  • --app、-a アプリケーション
  • --force 承認を求めません

使用例

My Vault> secrets-manager client remove --app PythonApp --client MyClient
Are you sure you want to delete 3 matching clients from this application? [y/n]:
>? y
Client removal was successful

secrets-manager client revokeコマンド

• コマンド secrets-manager client revoke
• 概要 すべてのアプリケーションから指定したクライアントIDを検索し、失効させます。アプリケーションを特定できない紛失デバイスや漏洩デバイスを素早く失効させたいときに便利です。クライアントIDは、デバイスの設定ファイル内で「clientId」として確認できます。クライアントIDは、ボルトのユーザーインターフェースに表示される短縮版 (「Short ID」) でも指定できます。
• スイッチ

  • --client <クライアントID> 失効させるクライアント
  • --force 承認を求めません

使用例

My Vault> secrets-manager client revoke --client La1Ud62e
Found 1 matching client device(s):

  Application: :: KeeperPAM Demo
  Device Name: kUejmuw6JnU
  Client ID:   La1Ud62eGHcqQ8h27UQs...

	Are you sure you want to revoke 1 client device(s)? [y/n]: y
Revoked 1 client(s) from application "KeeperPAM Demo"

Client revocation complete.

secrets-manager app updateコマンド

• コマンド secrets-manager app update
• 概要 既存のシークレットマネージャーアプリケーションの名前を変更します。
• パラメータ

  • アプリケーションの名前またはUID
  • --name / -n — アプリケーションの新しい名前

使用例

My Vault> secrets-manager app update PythonApp --name PythonAppV2Application
 
"PythonApp" was successfully renamed to "PythonAppV2"

secrets-manager share updateコマンド

• コマンド secrets-manager share update
• 概要 アプリケーションに関連付け済みのシークレット (レコードまたは共有フォルダ) のアクセス権限を更新します。 --editable でクライアントによるシークレットの編集を許可し、 --readonly で読み取り専用に制限します。このコマンドで共有のアクセス権限を更新します。
• スイッチ

  • --secret、-s <シークレットUID> — 更新するレコードまたは共有フォルダのUID
  • --app、-a <アプリケーション名またはUID> — 共有を所有するアプリケーション
  • --editable、-e — 共有を編集可に設定
  • --readonly、-r — 共有を読み取り専用に設定

使用例

My Vault> secrets-manager share update --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ" --editable

Successfully updated share permissions to editable for app uid=oXMfwo-hzZNRqMXGvJlccQ

My Vault> secrets-manager share update --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ" --readonly

Successfully updated share permissions to read-only for app uid=oXMfwo-hzZNRqMXGvJlccQ

secrets-manager usageコマンド

• コマンド secrets-manager usage
• 概要 合計、詳細、デバイス別、サマリー、タイムラインなど、KSMの使用状況集計と課金サイクルの日付、ARAMベースの集計を表示します。

このコマンドの出力には、選択した期間にアクティビティがある、すでに削除されたKSMアプリやデバイスが含まれる場合があります。

• スイッチ

My Vault> secrets-manager usage --help
usage: secrets-manager usage [--format {table,csv,json,pdf}] [--output OUTPUT] [--detail] [--by-device]
                             [--summary] [--timeline] [--range {24h,7d,30d}] [--all] [--created CREATED]
                             [--limit LIMIT] [--exists] [--sort {count,name}] [--help]

Keeper Secrets Manager usage report

options:
  --format {table,csv,json,pdf}
                        format of output
  --output OUTPUT       path to resulting output file (ignored for "table" format)
  --detail              Full detail table (per owner+device, or per device with --by-device)
  --by-device           Aggregate by device instead of by application owner
  --summary             Usage metrics summary (total API usage, apps, devices, avg calls/user)
  --timeline            Secrets Manager event timeline (all KSM event types)
  --range {24h,7d,30d}  Timeline window: 24h, 7d or 30d (default 30d). Timeline only
  --all                 Timeline only: Export All rows (Date / Event / Number of Events)
  --created CREATED     Override usage/summary date window (same syntax as audit-report --created). Default:      
                        current KSM billing cycle
  --limit LIMIT         Max rows to fetch (paginated). Default: all. Use -1 for all
  --exists              Add an Exist column to --by-device showing whether each app is live / in Trash / purged,  
                        resolved from enterprise compliance data. *** VERY SLOW *** - runs a FULL enterprise      
                        compliance sync (can take minutes on large tenants). Only applies to --by-device;
                        ignored on other views (deleted KSM apps cannot be detected any other way)
  --sort {count,name}   Sort rows by usage count (default, descending) or by name/title (ascending) - use "name"  
                        to group related rows, e.g. all "Playground" devices
  --help, -h            Display help

使用例

My Vault> secrets-manager usage --summary
Metric                        Value
--------------------------  -------
Total API Usage This Cycle  73981
Applications                   22
Devices                        28
Average API Calls Per User  12330.2

Usage covers only applications with recorded activity and may include ones since deleted. Run "secrets-manager app list" to see all live applications you can access.