Teller

TellerとのKeeperシークレットマネージャー統合による動的なシークレット取得

機能

• Teller環境内でKeeperボルトからシークレットを取得
• Tellerでシークレット認証情報を環境変数として設定

Keeperシークレットマネージャーの機能一覧については、概要をご参照ください。

前提条件

本ページでは、シークレットマネージャーとTellerの連携について取り扱います。本連携を利用するには、以下が必要です。

• Keeperシークレットマネージャーへのアクセス（クイックスタートガイドをご参照ください）

  • Keeperのサブスクリプションでシークレットマネージャーアドオンが有効になっていること
  • シークレットマネージャーポリシーが有効なロールに所属していること
• シークレットが共有されているKeeperシークレットマネージャーアプリケーション

  • アプリケーションの作成手順については、クイックスタートガイドをご参照ください
• 初期化済みのKeeperシークレットマネージャー構成

  • Teller連携ではBase64形式の構成を使用

設定

シークレットマネージャー構成の取得

Keeperコマンダーでアプリケーションに新しいクライアントを追加し、構成をBase64文字列として初期化します。この文字列は「Initialized Config:」ラベルの後に表示される長いハッシュテキストです。

My Vault> sm client add --app MyApp --config-init b64

Successfully generated Client Device
====================================

Initialized Config: eyJob3N0bmFtZSI6ICJr....OUk1ZTV1V2toRucXRsaWxqUT0ifQ==
IP Lock: Enabled
Token Expires On: 2021-10-19 15:31:31
App Access Expires on: Never

この値をKSM_CONFIGという名前の環境変数に割り当てます。

Teller構成の作成

TellerはKeeperボルトから変数を取得し、現在の作業セッションに反映されます。安全かつ効率的に作業できます。

Tellerにはtellerfileが必要です。リポジトリ内の .teller.yml、または teller -c your-conf.yml で指定するファイルです。 teller new を実行してウィザードに従い、プロバイダを選択すると .teller.yml が生成されます。

あるいは、以下の最小限のテンプレートを使用できます。

project: project_name
opts:
  stage: development

providers:
  # 構成: KSM_CONFIG=base64_config
  # またはファイルパス: KSM_CONFIG_FILE=ksm_config.json
  keeper_secretsmanager:
    # 1件のレコードから複数のキーと値のペアを取得
    # 空でないフィールドはすべてラベルでマッピング
    # 空の場合はフィールドタイプでマッピングし、重複には1,2,...,Nの接尾辞を付与
    env_sync:
      path: [recordUID]

    # Keeper表記法で個別のフィールド値を選択
    # ../about/keeper-notation.md をご参照ください
    env:
      USER:
        path: [recordUID]/field/login
      PSWD:
        path: [recordUID]/field/password

コマンドラインから実行

現在のディレクトリの .teller.yml、または teller -c your-conf.yml で指定したファイルを使用して、以下のようにプロセスを実行できます。

$ teller run node src/server.js
Service is up.
Loaded configuration: Mailgun, SMTP
Port: 5050

GitHub Actionの使用

Tellerのステップを追加します。

# Tellerステップをセットアップ
- name: Setup Teller
  uses: spectralops/setup-teller@v2
- name: Run a Teller task (show, scan, run, etc.)
  run: teller run [args]

以下の例ではデフォルトの構成ファイル .teller.yml を使用しています。run コマンドで teller -c your-conf.yml によりカスタムファイルを指定することもできます。

name: run with teller
on:
  push:
    branches:
      - master
      - main
  pull_request:

jobs:
  build:
    name: Build your code
    runs-on: ubuntu-latest

    steps:
      - name: Clone repo
        uses: actions/checkout@master

      # Tellerをセットアップ
      - name: Setup Teller
        uses: spectralops/setup-teller@v2

      - name: Run a Teller task (show, scan, run, etc.)
        run: teller run npm run build