移行

AWS、Azure、GCPのシークレットをKeeperへインポートし、ユニバーサルシークレット同期の初期セットアップ

概要

本ページでは、クラウドプロバイダ (AWS、Azure、Google Cloud) から既存のシークレットをKeeperへ移行し、ユニバーサルシークレット同期 (USS) を介してクラウドへ再び同期する方法について取り扱います。本ガイドを完了すると、Keeperが信頼できる情報源となり、以降はUSSがクラウドプロバイダ上のコピーを自動更新します。

開始前の確認

続行する前に、セットアップの手順を完了してください。KeeperPAMの有効なライセンス、稼働中のKeeperゲートウェイ、対象クラウド環境向けのPAM構成が必要です。

移行手順

手順1: 共有フォルダの作成

ボルトに共有フォルダを作成します。このフォルダにはクラウドプロバイダからインポートしたシークレットが格納され、今後の同期元となります。

手順2: 既存のシークレットをKeeperへインポート

Keeperコマンダーを使用して、クラウドプロバイダから既存のシークレットを共有フォルダへ一度だけインポートします。

• AWS Secrets Managerからのインポート
• Azure Key Vaultからのインポート
• Google Secret Managerからのインポート

手順3: インポートしたシークレットの確認

Keeperボルトでインポートしたレコードを確認し、続行する前にすべての想定フィールドと値が揃っていることをご確認ください。

手順4: ゲートウェイの構成

対象クラウドのシークレットマネージャーへの読み書きに必要な権限を持つKeeperゲートウェイをセットアップします。ゲートウェイ自体、または関連する同期IDロールが、クラウドのシークレットマネージャーサービスへの読み書きアクセス権を持っている必要があります。

手順5: フォルダをKSMアプリケーションにリンク

ボルトでゲートウェイに関連付けられたKSMアプリケーションを開き、[フォルダ&レコード] の下に共有フォルダを追加します。これにより、同期対象レコードへアプリケーションからアクセスできるようになります。

手順6: PAM構成でUSSを構成

対象クラウド環境のPAM構成を開き、USSを構成します。

1. [ユニバーサルシークレット同期] セクションまでスクロールし、有効化
2. [場所] の下で、手順1で作成した共有フォルダを選択
3. [ドライラン] のチェックを外し、同期ジョブが自動実行されるようにする
4. 構成を保存

手順7: ゲートウェイの起動

Keeperゲートウェイがまだ稼働していない場合は、起動してください。

手順8: 同期の確認

同期ジョブは自動的に開始されます。移行したシークレットには、Keeperの管理下にあることを示すタグがクラウドプロバイダ側に付与されます。

クラウドプロバイダ	タグ/ラベル
AWS	Key: Source / Value: KeeperSecretsManager
Azure	tags: {"Source": "KeeperSecretsManager"}
GCP	labels: {"source": "keeper_secrets_manager"}

移行は完了です。Keeperが信頼できる情報源となりました。共有フォルダ内のレコードに対する以降の変更は、USSを介してクラウドプロバイダへ自動的にプッシュされます。

関連ページ

• ユニバーサルシークレット同期の概要: 機能の概要、アーキテクチャ、主な機能
• セットアップ: 要件とPAM構成のセットアップ
• コマンダーCLI: CLIリファレンスとドライランのワークフロー
• ボルトガイド: ボルトUIによる段階的な操作手順