Google Cloud Key Managementでの暗号化

シークレットマネージャーの接続情報をGoogle Cloud Key Managementで保護

KeeperシークレットマネージャーはGoogle Cloud Key Managementと連携し、Keeperシークレットマネージャーの構成ファイルを暗号化できるようにします。この連携により、マシン上の接続情報を保護しながら、すべてのシークレット認証情報に対するKeeperのゼロ知識暗号化の利点を活用できます。

機能

Google Cloud Key Managementを使って、Keeperシークレットマネージャーの構成ファイルを暗号化および復号化します。
シークレットマネージャーの接続情報への不正アクセスを防止します。
保護のためにコードに加える変更は最小限で済みます。すべてのKeeperシークレットマネージャーSDK機能で動作します。

要件

Keeper SecurityとGoogle Cloud Key Managementを連携するには、.json で終わるサービスアカウントキーが必要です。
この連携で利用できるキーの構造は以下の形式です。 projects/<project_name>/locations/<location_name>/keyRings/<key_ring_name>/cryptoKeys/<key_name>/cryptoKeyVersions/<key_version>

Java/Kotlin版シークレットマネージャーSDKに対応
GCPパッケージ google-cloud-kms が必要
GCP KMSキーに ENCRYPT および DECRYPT の権限が必要

注: v1.1.0以降はNode.js 22以降が必要です。それより前のNode.jsバージョンはサポートされません。

JavaScriptシークレットマネージャーSDKに対応
@google-cloud/kms はバンドル済みのため、別途インストールは不要です
GCP KMSキーにはサービスアカウントに対して以下のIAM権限が必要です
- Cloud KMS CryptoKey Encrypter
- Cloud KMS CryptoKey Decrypter
- Cloud KMS CryptoKey Public Key Viewer (非対称鍵に必要)
- Cloud KMS Viewer (cloudkms.cryptoKeys.get。初期化時のキー参照に必要)

注: v1.1.0以降はPython 3.9以降が必要です。Python 3.6～3.8を使用している場合は、keeper-secrets-manager-storage-gcp-kms<1.1.0 にバージョンを固定してください。

PythonシークレットマネージャーSDKに対応
google-cloud-kms パッケージが必要
以下のIAM権限が必要です
- Cloud KMS CryptoKey Encrypter
- Cloud KMS CryptoKey Decrypter
- Cloud KMS CryptoKey Public Key Viewer
- Cloud KMS Viewer (cloudkms.cryptoKeys.get。初期化時のキー参照に必要)

.NetシークレットマネージャーSDKに対応
Google.Apis.CloudKMS.v1が必要
GCP KMSキーに ENCRYPT および DECRYPT の権限が必要

セットアップ

1. モジュールのインストール

GradleまたはMavenを使用してプロジェクトをセットアップ

Gradle

repositories {
  mavenCentral()
}

dependencies {
	implementation("com.keepersecurity.secrets-manager:core:17.0.0")
	implementation("com.keepersecurity.secrets-manager:gcp:1.0.0")
	implementation ("com.google.cloud:google-cloud-kms:2.62.0")
	implementation ("com.google.auth:google-auth-library-oauth2-http:1.33.1") 
	implementation("com.fasterxml.jackson.core:jackson-databind:2.18.2")
	implementation("com.fasterxml.jackson.core:jackson-core:2.18.2")
	implementation("com.google.code.gson:gson:2.12.1")
    implementation("org.slf4j:slf4j-api:1.7.32"){
        exclude("org.slf4j:slf4j-log4j12")
    }
	implementation("ch.qos.logback:logback-classic:1.2.6")
	implementation("ch.qos.logback:logback-core:1.2.6")
	implementation("org.bouncycastle:bc-fips:1.0.2.4")
}

Maven

<!-- KMS-core -->
<dependency>
	<groupId>com.keepersecurity.secrets-manager</groupId>
	<artifactId>core</artifactId>
	<version>[17.0.0,)</version>
</dependency>
<dependency>
	<groupId>com.keepersecurity.secrets-manager</groupId>
	<artifactId>gcp</artifactId>
	<version>1.0.0</version>
</dependency>
<!-- gcp-kms -->
<dependency>
	<groupId>com.google.cloud</groupId>
	<artifactId>google-cloud-kms</artifactId>
	<version>2.62.0</version>
</dependency>
<!-- gcp auth -->
<dependency>
	<groupId>com.google.auth</groupId>
	<artifactId>google-auth-library-oauth2-http</artifactId>
	<version>1.33.1</version>
</dependency>
<!--gson -->
<dependency>
	<groupId>com.google.code.gson</groupId>
	<artifactId>gson</artifactId>
	<version>2.12.1</version>
</dependency>
<!--jackson-core -->
<dependency>
	<groupId>com.fasterxml.jackson.core</groupId>
	<artifactId>jackson-core</artifactId>
	<version>2.18.2</version>
</dependency>
<!--jackson-databind -->
<dependency>
	<groupId>com.fasterxml.jackson.core</groupId>
	<artifactId>jackson-core</artifactId>
	<version>2.18.2</version>
</dependency>
<!-- slf4j-api -->
<dependency>
	<groupId>org.slf4j</groupId>
	<artifactId>slf4j-api</artifactId>
	<version>1.7.32</version>
	<scope>runtime</scope>
</dependency>
<!-- logback-classic -->
<dependency>
	<groupId>ch.qos.logback</groupId>
	<artifactId>logback-classic</artifactId>
	<version>1.2.6</version>
	<scope>compile</scope>
</dependency>
<!-- logback-core -->
<dependency>
	<groupId>ch.qos.logback</groupId>
	<artifactId>logback-core</artifactId>
	<version>1.2.6</version>
	<scope>compile</scope>
</dependency>
<!-- bc-fips -->
<dependency>
	<groupId>org.bouncycastle</groupId>
	<artifactId>bc-fips</artifactId>
	<version>1.0.2.4</version>
</dependency>

npmを使用してシークレットマネージャーとGoogle Cloud Key Managementモジュール統合をインストールします。

npm install @keeper-security/secrets-manager-gcp

シークレットマネージャーGoogle Cloud Key Managementモジュールは、pipを使用してインストールできます。

pip3 install keeper-secrets-manager-storage-gcp-kms

シークレットマネージャーのGoogle Cloud Key Managementモジュールは、.NETのNuGetパッケージマネージャーを使用してインストールできます。

dotnet add package Keeper.SecretsManager.GCPKeyManagement

シークレットマネージャーのGoogle Cloud Key Managementモジュール統合は、以下を使用してインストールできます。

go get github.com/keeper-security/secrets-manager-go/integrations/gcp

2. Google CKM接続を構成

Google Cloud Platform (GCP) で安全に認証を行うには、JSON形式のサービスアカウントキーを作成します。この認証情報ファイルは、GCPのサービスとプログラム経由でやり取りする際の認証手段として使用されます。

Python v1.1.0以降: サービスアカウントには、Encrypter/Decrypterロールに加えて Cloud KMS Viewer IAMロール (cloudkms.cryptoKeys.get) が必要です。これがない場合、GCPKeyValueStorage は初期化時に権限エラーを返します。必要なロールの一覧は、Pythonの要件タブをご参照ください。

キーの生成の詳細については、Googleのドキュメントをご参照ください。

3. コードにGCPキーボルトストレージを追加

GCP接続の設定が完了したら、統合機能を使ってKSM構成を暗号化および復号化するためのキーを取得できます。また、シークレットマネージャーSDKに、KMSをストレージとして使用するよう指示する必要があります。

GCPキーボルト統合の使用

セットアップが完了すると、シークレットマネージャーのGCPキー・ボールト統合は、シークレットマネージャーSDKのすべての機能に対応します。KSM構成ファイルを暗号化・復号化するには、コードからGCPのCKMキーへアクセスできる必要があります。

指定した接続認証情報の使用

この操作を行うには、GcpKeyValueStorage インスタンスを作成し、それを SecretManagerOptions のコンストラクタに渡します。

GcpKeyValueStorage には、シークレットマネージャーの構成ファイル名、GCP認証情報ファイル、およびCloud Key Managementのキー情報が必要です。

import java.security.Security;
import org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider;
import static com.keepersecurity.secretsManager.core.SecretsManager.initializeStorage;
import com.keepersecurity.secretsmanager.gcp.GcpKeyValueStorage;
import com.keepersecurity.secretsmanager.gcp.GcpSessionConfig;
import com.keepersecurity.secretsManager.core.SecretsManagerOptions;
public class Test {
	public static void main(String args[]){
	    String oneTimeToken = "One_Time_Token";
	    String projectId = "projectId";
	    String location = "cloud_region";
	    String keyRing = "key_ring_name";
	    String keyId = "key_id";
	    String keyVersion = "key_version";
	    String configFileLocation = "client_config_test.json";
	    String credentialFileLocation = "<path_with_name_of_gcp_cred_file.json>";
	    Security.addProvider(new BouncyCastleFipsProvider());
		try{
				GcpSessionConfig sessionConfig = new GcpSessionConfig(projectId, location, keyRing, keyId, keyVersion, credentialFileLocation);
				GcpKeyValueStorage storage = new GcpKeyValueStorage(configFileLocation, sessionConfig);
				initializeStorage(storage, oneTimeToken);
				SecretsManagerOptions options = new SecretsManagerOptions(storage);	
		}catch (Exception e) {
				  System.out.println(e.getMessage());
		}
	}
}

この操作を行うには、SecretsManager のコンストラクタで GCPKeyValueStorage をシークレットマネージャーのストレージとして使用します。

このストレージには、keyConfig、GCPKSMClient によって生成される gcpsessionConfig、およびGCP Cloud Key Managementで暗号化されるシークレットマネージャー構成ファイル名が必要です。

v1.1.0の動作: シンボリックリンクになっている構成パスは、読み取り・書き込みのどちらでも拒否されます。構成パスにハードリンクの対になるパスがある場合は、保存時にそのファイルへ直接書き込むのではなく、ファイル自体を置き換えます。configPath や KSM_CONFIG_FILE には、リンクではなく実体のファイルを指定してください。サイズが0バイトの構成ファイルも、空の構成としてではなく init()・decryptConfig() でハードエラーとして扱われるようになりました。これにより、書き込みが中断・途中で切れたファイルが、気づかれないまま再暗号化されてしまうことはなくなりました。

構成ファイルのパスは、GCPKeyValueStorage に渡す構成パスの引数、環境変数 KSM_CONFIG_FILE、カレントディレクトリの client-config.json の順に調べ、最初に空でない値が使われます。空白のみの値は未設定として扱われます。

構成ファイルだけでなく、そのディレクトリにも書き込み権限が必要です。書き込み時には構成ファイルと同じディレクトリに一時ファイルを作成し、それをリネームして配置します。構成ファイルの書き込みはファイルモード 0600 で行われ、新規作成される構成ディレクトリは 0700 になります。LinuxとmacOSでは、init() と decryptConfig() も、アプリケーションを実行しているユーザー以外が所有する構成ファイル (root所有のファイルは許可されます) や、0664 や 0666 のようにグループまたは他ユーザーに書き込み権限があるモードの構成ファイルの読み取りを拒否します。umask 002 の環境でバージョン1.0.0が作成した構成ファイルはモード 0664 になるため、現在は失敗します。一方 0644 は通過します。エラーにはファイルのパスが示されます。ファイルを 0600 に設定し、アプリケーションを実行しているアカウントがそのファイルを所有していることを確認してください。WindowsではNode.jsがPOSIXのファイルモードを適用しないため、これらのモードは影響せず、構成ファイルの読み取り時に所有者やモードのチェックは行われません。代わりに、WindowsのACLで構成ディレクトリへのアクセスを制限してください。構成パスのシンボリックリンクはWindowsでも引き続き拒否されますが、このチェックはファイルを開く直前に実行されるため、チェックとオープンの間でリンクを差し替えられると検出できません。構成ファイルを置き換えられる者は誰でもこの競合に勝てるため、構成ディレクトリへの書き込み権限を持つユーザーを制限してください。保存時に別のプロセスが構成ファイルを開いている場合、Windowsでは EPERM、EACCES、EBUSY のいずれかのエラーで保存に失敗します。既存の構成ファイルはそのまま残り、エラーがコード側に返されるため、保存を再試行してください。

他のメソッドを呼び出す前に、init() を1回呼び出し、その完了を待ってください。init() が完了するまでは、decryptConfig() を含む他の公開メソッドはすべて init() の呼び出しを促すエラーで失敗し、init() に失敗したインスタンスはそのまま使用不能になります。構成ファイルの内容が null や配列、数値、文字列以外の値を含むオブジェクトなど、文字列値だけのオブジェクトでないJSONの場合も、init() は失敗し、ファイルは変更されません。その場合は、バックアップからファイルを復元するか、ファイルを削除して新しい構成を作成してください。

 import {GCPKeyValueStorage,GCPKeyConfig,GCPKSMClient,LoggerLogLevelOptions} from "@keeper-security/secrets-manager-gcp";
    const getKeeperRecordsGCP = async () => {
        const gcpCredFile = "<path_with_name_of_gcp_cred_file.json>"
        const keyConfig2  = new GCPKeyConfig("<key_version_resource_url_1>");
        const keyConfig = new GCPKeyConfig("key_version_resource_url_2");
        const gcpSessionConfig = new GCPKSMClient().createClientFromCredentialsFile(gcpCredFile)
        let config_path = "<path to client-config.json>"
        let logLevel = LoggerLogLevelOptions.debug;
        const oneTimeToken = "<one_time_token>";
        const storage = await new GCPKeyValueStorage(config_path, keyConfig, gcpSessionConfig, logLevel).init();
        await initializeStorage(storage, oneTimeToken);
        const {records} = await getSecrets({storage: storage});
        console.log(records)
        const firstRecord = records[0];
        const firstRecordPassword = firstRecord.data.fields.find((x: { type: string; }) => x.type === 'bankAccount');
        console.log(firstRecordPassword.value[0]);
    }
    console.log("start")
    getKeeperRecordsGCP()

この操作を行うには、SecretsManager のコンストラクタで GCPKeyValueStorage をシークレットマネージャーのストレージとして使用します。

このストレージには、GCPKeyConfig によって生成される gcp_key_config、GCPKMSClientConfig によって生成される gcp_session_config オブジェクト、GCP Cloud Key Managementによって暗号化されるシークレットマネージャー構成ファイルの名前が必要です。

from keeper_secrets_manager_storage_gcp_kms import GCPKeyConfig, GCPKeyValueStorage, GCPKMSClientConfig
from keeper_secrets_manager_core import SecretsManager

# キーの例: projects/<project>/locations/<location>/keyRings/<keyring>/cryptoKeys/<key_name>/cryptoKeyVersions/<version>
gcp_key_config = GCPKeyConfig("<key_resource_uri>")

gcp_cred_file_location_with_name = "<path_with_name_of_gcp_cred_file.json>"
gcp_session_config = GCPKMSClientConfig().create_client_from_credentials_file(gcp_cred_file_location_with_name)

config_path = "ksm_config.json"
one_time_token = "<one_time_token>"

storage = GCPKeyValueStorage(config_path, gcp_key_config, gcp_session_config)
secrets_manager = SecretsManager(token=one_time_token, config=storage)
all_records = secrets_manager.get_secrets()

first_record = all_records[0]
print(first_record)

この操作を行うには、SecretsManager のコンストラクタで GCPKeyValueStorage をシークレットマネージャーのストレージとして使用します。

このストレージには、GCPKeyConfigによって生成される keyConfig、GCPKMSClient によって生成される gcpSessionConfig オブジェクト、そしてGCP Cloud Key Managementによって暗号化されるシークレットマネージャー構成ファイルの名前が必要です。

 using System;
 using System.Linq;
 using System.Threading.Tasks;
 using SecretsManager;
 using GCPKeyManagement;
 using Microsoft.Extensions.Logging;
 public class Program {
   private static async Task getOneIndividualSecret() {
     Console.WriteLine("execution started");
     string key1ResourceName = "<KEY1ResourceURL>";
     string key2ResourceName = "<Key2ResourceURL>";
     string gcpConfigFilePath = "<GCP config file path with name>";
     var keyConfig = new GCPKeyConfig(key1ResourceName);
     var gcpSessionConfig = new GCPKMSClient().CreateClientFromCredentialsFile(gcpConfigFilePath);
     var ksmConfigPath = "ksm_config.json";
     var dotnet_access_token = "[One_Time_Token]";
     var loggerFactory = LoggerFactory.Create(builder => {
       builder.SetMinimumLevel(LogLevel.Debug);
       builder.AddConsole();
     });
     var logger = loggerFactory.CreateLogger < GCPKeyValueStorage > ();
     var gcp_storage = new GCPKeyValueStorage(keyConfig, gcpSessionConfig, ksmConfigPath, logger);
     SecretsManagerClient.InitializeStorage(gcp_storage, dotnet_access_token);
   }
   static async Task Main() {
     await getOneIndividualSecret();
   }
 }

この操作を行うには、NewSecretsManager で NewGCPKeyVaultStorage をシークレットマネージャーのストレージとして使用します。

NewGCPKeyVaultStorage は、GCP Cloud Key Management を使用してKSM構成を暗号化するために、以下のパラメータを必要とします。

ksmConfigFileName: KSM構成ファイルのファイル名
keyResourceName: Google Cloud Key Managementの keyResourceNameを指定
credentialFileWithPath: GCP認証情報ファイルのパスとファイル名を指定

package main
import (
	"encoding/json"
	"fmt"
	"github.com/keeper-security/secrets-manager-go/core"
	gcpkv "github.com/keeper-security/secrets-manager-go/integrations/gcp"
)
func main() {
	credentialFileWithPath := "<Location of credential file ending with .json>"
	keyResourceName := "<Key_Resource_Name>"
	ksmConfigFileName := "ksmConfig.json"
	oneTimeToken := "<One_Time_Access_Token>"
	cfg := gcpkv.NewGCPKeyVaultStorage(ksmConfigFileName, keyResourceName, credentialFileWithPath)
	client_options := &core.ClientOptions{
		Token:  oneTimeToken,
		Config: cfg,
	}
	fmt.Printf("Client ID Value: %s", cfg.Get(core.KEY_CLIENT_ID))
	secrets_manager := core.NewSecretsManager(client_options)
	secrets, err := secrets_manager.GetSecrets([]string{})
	if err != nil {
		// do something
		fmt.Printf("Error while fetching secrets: %v\n", err)
	}
	for _, record := range secrets {
		fmt.Printf("Records: %v\n", record)
	}
}

アプリケーション既定認証情報の利用

gcloud auth application-default login、GOOGLE_APPLICATION_CREDENTIALS 環境変数の設定、またはサービスアカウントがアタッチされたGCPコンピュートインスタンス上で実行している場合は、認証情報ファイルを省略できます。

import { getSecrets, initializeStorage } from "@keeper-security/secrets-manager-core";
import { GCPKeyValueStorage, GCPKeyConfig, GCPKSMClient, LoggerLogLevelOptions } from "@keeper-security/secrets-manager-gcp";

const getKeeperRecordsGCP = async () => {
    // 認証情報ファイルは不要。アプリケーション既定認証情報を自動利用
    const gcpSessionConfig = new GCPKSMClient();
    const keyConfig = new GCPKeyConfig("<key_version_resource_url>");
    const configPath = "<path_to_client-config.json>";
    const logLevel = LoggerLogLevelOptions.info;

    const oneTimeToken = "<one_time_token>";

    const storage = await new GCPKeyValueStorage(configPath, keyConfig, gcpSessionConfig, logLevel).init();
    await initializeStorage(storage, oneTimeToken);

    const { records } = await getSecrets({ storage: storage });
    const firstRecord = records[0];
    const password = firstRecord.data.fields.find((x) => x.type === "password");
    console.log(password.value[0]);
};
getKeeperRecordsGCP();

または、サービスアカウントのメールと秘密鍵をファイルなしで直接渡します。

const gcpSessionConfig = new GCPKSMClient().createClientUsingCredentials(
    "<service_account_email>",
    "<private_key>"
);

from keeper_secrets_manager_storage_gcp_kms import GCPKeyConfig, GCPKeyValueStorage, GCPKMSClientConfig
from keeper_secrets_manager_core import SecretsManager

gcp_key_config = GCPKeyConfig("<key_resource_uri>")

# アプリケーション既定認証情報を使用
# (gcloud auth application-default login、GOOGLE_APPLICATION_CREDENTIALS 環境変数、またはアタッチされたサービスアカウント)
gcp_session_config = GCPKMSClientConfig().get_default_crypto_client()

config_path = "ksm_config.json"
one_time_token = "<one_time_token>"

storage = GCPKeyValueStorage(config_path, gcp_key_config, gcp_session_config)
secrets_manager = SecretsManager(token=one_time_token, config=storage)
all_records = secrets_manager.get_secrets()

first_record = all_records[0]
print(first_record)

ADC + RAW_ENCRYPT_DECRYPT の制限: ADCは RAW_ENCRYPT_DECRYPT キータイプでは使用できません。raw KMS APIパスには、既定クライアントが公開しないOAuthトークンが必要です。raw対称鍵には create_client_from_credentials_file() または create_client_using_credentials() を使用してください。

または、サービスアカウントのメールと秘密鍵をファイルなしで直接渡します。

gcp_session_config = GCPKMSClientConfig().create_client_using_credentials(
    "<service_account_email>",
    "<private_key>"  # サービスアカウントJSONの private_key フィールド (PEM形式)。ファイルパスではありません
)

追加オプション

キーの変更

KSM構成の暗号化に使用するキーは変更可能です。以下の例では、そのキーを使用するために必要なコードを示しています。

//The method changeKey(keyID) will be used to encrypt the KSM config file with new Key and version. 
GcpKeyValueStorage storage = new GcpKeyValueStorage(configFileLocation, sessionConfig);
String newKeyID = "<new Key ID>";
boolean isChanged = storage.changeKey(keyId);
System.out.println("Key Changed: "+isChanged); // 暗号化および復号に使用するキーを変更します。

// 暗号化に使用するGCP Cloud Key Managementのキーを変更するには、OciKeyValueStorage インスタンスで changeKey メソッドを呼び出します。
const storage = await new GCPKeyValueStorage(configPath,keyConfig,gcpSessionConfig).init();
await storage.changeKey(keyConfig2);

storage = GCPKeyValueStorage(config_path, gcp_key_config, gcp_session_config)
is_changed = storage.change_key(new_key_config)
print("Key is changed:", is_changed)

// 暗号化に使用するGoogle Cloud Key Managementのキーを変更するには、
// GCPKeyValueStorage インスタンスで ChangeKeyAsync メソッドを呼び出します。
// ※ロギング機能を使用する場合は Microsoft.Extensions.Logging の参照が必要です。
var gcp_storage = new GCPKeyValueStorage(keyConfig2, gcpSessionConfig, path,logger);
bool isChanged = gcp_storage.ChangeKeyAsync(keyConfig1).Wait();
Console.WriteLine(isChanged)

// GCP構成を変更せずにキーだけを変更したい場合は、Oracle構成の代わりに nil を渡してください。
cfg := gcpkv.NewGCPKeyVaultStorage(ksmConfigFileName, keyResourceName, credentialFileWithPath)
updatedResourceName := "<Updated Key Resource Name>"
isChanged, err := cfg.ChangeKey(updatedResourceName, "")
	if err != nil {
		// do something
	}
fmt.Printf("Key changed: %v\n", isChanged)

構成を復号化する

現在の実装を別のクラウドに移行する場合や、生の認証情報を取り出したい場合は、構成ファイルを復号化できます。この関数はブール値を受け取り、true に設定すると復号された構成をファイルに保存し、false の場合は復号された構成を返すだけになります。

GcpKeyValueStorage storage = new GcpKeyValueStorage(configFileLocation, sessionConfig);
storage.decryptConfig(false); // 平文のみを抽出するには、パラメーターに false を指定します。
//または 
storage.decryptConfig(true); // 平文を抽出し、構成ファイルを平文として保存するには、パラメーターに true を指定します。

警告: decryptConfig(true) は、クライアントID、アプリキー、デバイスの秘密鍵を構成ファイルのパスに平文で書き込み、暗号化済みのファイルを置き換えます。再暗号化するまでは、バックアップやスナップショット、コンテナイメージのレイヤーなど、そのファイルを読み取れるものすべてがこれらの認証情報を読み取れる状態になります。書き込み自体はファイルモード 0600 (所有者のみ読み書き可能) で行われるため、同じマシン上の他のローカルユーザーからの読み取りは制限されますが、データそのものはディスク上で平文のままです。

const storage = await new GCPKeyValueStorage(configPath,keyConfig,gcpSessionConfig).init();
await storage.decryptConfig(true); // 平文を抽出して構成ファイルを平文として保存するには、パラメーターに true を指定します。
// または
await storage.decryptConfig(false);  // 平文のみを抽出するには、false を指定します。

暗号化された構成に戻すには、同じパスを指定して新しい GCPKeyValueStorage を作成し、その .init() を呼び出します。loadConfig() が平文の構成ファイルを検出し、init() が返る前にその場で再暗号化します。decryptConfig(true) を呼び出したインスタンスで再度 init() を呼び出さないでください。そのインスタンスはファイルを再暗号化しないため、ファイルは平文のまま残ります。

v1.1.0の変更: 引数なしで呼び出した decrypt_config() は、既定で autosave=False になります (平文のみを返し、ディスクには書き込みません)。v1.0.xでは既定が True で、暗号化済み構成ファイルが平文の認証情報で上書きされていました。引数は常に明示的に指定してください。

storage = GCPKeyValueStorage(config_path, gcp_key_config, gcp_session_config)

# 平文のみ抽出
plaintext = storage.decrypt_config(autosave=False)
print(plaintext)

# 平文を抽出して構成ファイルを平文として保存
plaintext = storage.decrypt_config(autosave=True)
print(plaintext)

# 構成ファイルを復号して平文として再保存するには、OracleKeyValueStorage インスタンスで DecryptConfigAsync メソッドを呼び出します。
var gcp_storage = new GCPKeyValueStorage(keyConfig2, gcpSessionConfig, path,logger);
var conf = await gcp_storage.DecryptConfigAsync(false); # 平文のみを抽出するには、パラメーターに false を指定します。
Console.WriteLine(conf);
# または
var conf = await gcp_storage.DecryptConfigAsync(true); # 平文を抽出し、構成ファイルを平文として保存するには、パラメーターに true を指定します。

cfg := gcpkv.NewGCPKeyVaultStorage(ksmConfigFileName, keyResourceName, credentialFileWithPath)
plainText, err := cfg.DecryptConfig(false)
if err != nil {
	// 適切な処理を実行
	fmt.Printf("Error while decrypting config: %v", err)
}  
plainText, err := cfg.DecryptConfig(true) // 平文を抽出し、構成ファイルを平文として保存するには、パラメーターに true を指定します。
	// 適切な処理を実行
	fmt.Printf("Error while decrypting config: %v", err)
}

KSM統合機能を使用する準備ができました。

その他の例と機能については、KSM SDKのドキュメントをご参照ください。

前へGoogle Cloud Secret Managerとの同期

次へHashicorp Vault

最終更新 7 日前