Azure Key Vaultとの同期
KeeperボルトのシークレットをAzure Key Vaultと同期
概説
KeeperシークレットマネージャーCLIツールの sync コマンドを使用すると、Keeperボルトから目的のAzure Key Vaultアカウントにシークレットをプッシュし、目的の場所にある既存の値を上書きできます。 これにより、Keeperボルトが、Key Vaultを利用するAzureのすべてのサービスまたはスクリプトの信頼できる唯一の情報源となります。
機能
KeeperボルトのシークレットをAzure Key Vaultの信頼できる情報源として使用します
Azureの既存のスクリプトとサービスでKeeperボルトのシークレットがシームレスに使用できるようになります
要件
Keeperシークレットマネージャーへのアクセス (詳細は、クイックスタートガイドをご参照ください)
Keeperアカウントのシークレットマネージャーアドオンの有効化
シークレットマネージャー強制ポリシーが有効化されたロールを割り当てられたメンバーシップ
シークレットを共有するKeeperシークレットマネージャーアプリケーション
アプリケーションの作成手順については、クイックスタートガイドをご参照ください
Key VaultのAzureアカウントと、セキュリティプリンシパルを作成する機能
設定
1. KeeperシークレットマネージャーCLIを設定
KSM CLIツールを設定するには、Keeperシークレットマネージャーのワンタイムアクセストークンを使用してプロファイルを作成する必要があります。
これを行う最も簡単な方法は、次のコマンドを使用してデフォルトのプロファイルを初期化することです。
ksm profile init <TOKEN>
複数のプロファイルの作成およびその他のオプションについては、プロファイルのドキュメントをご参照ください。
2. Azureアクセス権限の設定
AzureとのKSM同期を使用するには、接続を受け入れるようにAzureアカウントを設定する必要があります。Key Vaultを使用するAzureアカウントに対し、Key Vaultでのキー操作の実行を許可されたサービスプリンシパルを有効にする必要があります。
こちらのMicrosoftのガイドに従って、サービスプリンシパルを設定してください。
3. Azureクレデンシャルレコードの作成
KSM CLIでは、シークレットを設定するためにAzureアカウントのクレデンシャルが必要です。 これらのクレデンシャルはKeeperのレコードに保存されており、CLIツールからは、Keeperシークレットマネージャーを使用してアクセスできます。
クレデンシャルレコードには、以下のラベルを持つレコードフィールドが必要です。
Azure Tenant ID
Azure Client ID
Azure Client Secret
Azure Key Vault Name
Azureアプリケーション登録からクライアントシークレットを取得する際は、[Azureクライアントシークレット]フィールドに、シークレットIDではなく値をコピーするようにしてください。
方法1: Azureクレデンシャルのカスタムのレコードタイプを作成
必要なフィールドを使用してカスタムのレコードタイプを作成できるため、レコードの作成が簡単かつシンプルになります。
カスタムのレコードタイプを作成するには、Keeperボルトで「カスタムのレコードタイプ」タブに移動して、「タイプの作成」をクリックします。 正しいフィールドラベルが設定された伏せ字項目を使用して新しいレコードタイプを作成し、「発行」をクリックして新しいレコードタイプを作成します。
後は、Azureクレデンシャルタイプのレコードを新規作成し、対応するフィールドに詳細情報を入力するだけです。
この新しいレコードが、シークレットマネージャーアプリケーションで共有された共有フォルダに格納されていることを確認します。
（方法2）カスタムフィールドを追加
新しいレコードタイプを作成せずにクレデンシャルレコードを作成するには、必要なフィールドをカスタムフィールドとして標準レコードに追加します。
任意のタイプの新しいレコードを作成し、必要なAzureフィールドごとに「伏せ字項目」タイプのカスタムフィールドを追加します。 「ラベルの編集」をクリックして、ラベルを対応するフィールド名に変更します。
次に、各カスタムフィールドに入力し、「保存 (Save）」をクリックしてレコードを保存します。
4. 値のマッピングを作成
KSM CLIのsyncコマンドは、コマンド呼び出しで定義されたマッピングを使用して、設定する値を識別します。コマンドに渡されたマッピングごとに、指定した名前の値にKeeperボルトから所与の値が代入されます。
これらのマッピングは次の形式に従っています。
--map "VALUE KEY" "KEEPER NOTATION"
VALUE KEYは、Azure Key Vaultで値が割り当てられるキーの名前です。
KEEPER NOTATIONは、キーに設定するKeeperのレコードの値を取得するKeeper表記法を使用したクエリです。
Keeper表記法は、Keeperシークレットマネージャーが特定のレコードの値を識別するために使用するクエリの表記法です。 この表記法は、次の一般的な形式に従います。UID/[field|custom]/fieldname
例: ae3d[...]d22e/field/password
詳細は、Keeper表記法のドキュメントをご参照ください。
完全なマッピング例:
--map "MySQL-PWD" "jd3[...]i-fd/field/password"
複数のマッピングを1つのsyncコマンドに追加できます
--map "MySQL-PWD" "jd3[...]i-fd/field/password" --map "MySQL-Login" "jd3[...]i-fd/field/login"
同期の実行
同期を実行するには、クレデンシャルレコードと値のマッピングを指定して、KSM CLIの sync コマンドを使用します
1. コマンドを構成
KSM syncコマンドをAzureタイプと組み合わせます。 以下のような形式になります。
2. ドライランを実行
syncコマンドは、実際に値をプッシュすることも変更を加えることもせずに、Azure Key Vaultの値に加えられるすべての変更を確認するドライランの実行をサポートします。 これを使用して、マッピングクエリが正しく構成されていることを確認します。
3. 同期を実行
準備ができたら、dry-runオプションを指定せずにsyncコマンドを実行します。 これにより、KeeperボルトからAzure Key Vaultに値がプッシュされます
最終更新