profileコマンド

Keeperシークレットマネージャーデバイスのプロファイルの設定と初期化

`profile`コマンド

説明: デバイスのプロファイルを初期化したり切り替えたりします。同じデバイスで複数の環境を使い分ける場合にも利用できます。

パラメータ

実行するサブコマンドとオプション

形式: ksm profile <サブコマンド>

サブコマンド

サブコマンド

説明

init

新しいクライアントデバイスのプロファイルを初期化します

setup

AWS などサードパーティの外部シークレットマネージャーから新しいプロファイルを設定します

list

作成されたプロファイルを一覧表示して、有効なプロファイルを示します

export

設定プロファイルをエクスポートします

import

エクスポートされた暗号化プロファイルから新しい設定を作成します

active

有効な設定プロファイルを指定します

delete

プロファイルの削除

init

クライアントデバイスのプロファイルを初期化します。

ksm profile init

既定では、keyring エクストラ付きでCLIをインストールしている場合、ksm profile init により新しいプロファイルはOS標準のセキュアストレージ (macOSキーチェーン、Windows資格情報マネージャー、Linux Secret Service) に保存され、keeper.ini ファイルは作成されません。

プロファイルを keeper.ini に保存する場合は、--ini-file <ファイル名> オプションを指定します。keyring エクストラがない場合は警告が表示され、現在の作業ディレクトリ (WindowsおよびmacOSのバイナリアプリケーションではホームディレクトリ) に keeper.ini が作成されます。

keeper.ini ファイルを使用する場合、以下のいずれかの場所に配置できます。

環境変数 KSM_INI_DIR で定義されたパス
現在のディレクトリ
ユーザーのホームディレクトリ
- ${HOME}
- ${HOME}/.config/ksm
- ${HOME}/.keeper
- $env:USERPROFILE
各種システムディレクトリ
- /etc
- /etc/ksm
- /etc/keeper
- $env:APPDATA/Keeper
- $env:ProgramData/Keeper
- $env:ProgramFiles/Keeper

パラメータ

-t、--token <トークン> ワンタイムアクセストークン
-h、--hostname <XX> 接続先のリージョン
デフォルトはUSリージョンです。他のリージョンでホストされている場合、以下の値を設定する必要があります。
- US (米国)
- EU (ヨーロッパ)
- AU (オーストラリア)
- JP (日本)
- CA (カナダ)
- US_GOV (GovCloud)
--ini-file <ファイル名> 新しいプロファイルをこのファイルに保存します。
-p、--profile-name <名前> プロファイル名を設定します。設定しない場合、プロファイルは _default に設定されます。

KSM CLIの初期化では、通常、ボルトまたはKeeperコマンダーで作成したトークンを使用します。

ksm profile init --token XX:XXXXXXXX

コマンドラインにトークンを載せたくない場合は、KSM_CLI_TOKEN 環境変数を使用します。例:

ksm profile init --ini-file=/tmp/custom.ini --profile-name=non_default

KSM_CLI_TOKEN 環境変数を使用してワンタイムトークンを提供することで、カスタムINIファイルやカスタムプロファイルを選択して作成・上書きすることが可能です。この設定はコマンドラインの--tokenオプションによって上書きすることもできます。

クイックスタートガイドに記載のように、まずコマンダーCLIかKeeperボルトインターフェイスでトークンを作成できます。

My Vault> secrets-manager client add --app MyApplicationName

setup

AWS Secrets Managerなどの外部ストレージからロードされる新しいプロファイルを設定します。これは、クラウドインスタンスから KeeperシークレットマネージャーCLIを使用する際に最適です。この認証方法を使用することで、追加のセキュリティ層が加わります。

AWSのような外部ストレージプロバイダーとの統合には以下の3つの方法があります。

EC2インスタンスロール (推奨)
AWSプロファイル認証情報
AWSカスタムキー

方法1: EC2インスタンスロール

この方法を使用するには、特定のAWS Secrets Managerのシークレットを読み取る権限を持つロールが設定されたEC2インスタンスに、KeeperシークレットマネージャーCLIをインストールする必要があります。特定のキーのみを読み取れる最小限の権限を持つEC2ロールポリシーを設定することを推奨します。 AWS Secrets Managerのアクセス制御についての詳細は、公式ドキュメントをご参照ください。

以下は、AWS EC2インスタンスロールを使用して、EC2インスタンス上でKSM CLIプロファイルを初期化する手順となります。

ksm profile setup --type=aws

これにより、以下のようにAWS内のシークレットキーを定義するkeeper.iniファイルが作成されます。

....

[_default]
storage = aws
provider = ec2instance
secret = ksm-config

デフォルトでは、シークレットキーはksm-configという名前であると仮定されます。異なるキー値を使用したい場合は、keeper.iniファイルを編集するか、--secretオプションを使用して指定します。

ksm profile setup --type=aws --secret my-ksm-config

方法2: AWSプロファイル認証情報

KSM CLIは、事前にこのデバイス上で aws configure コマンドを使用して初期化された特定のAWSプロファイルを利用するよう設定できます。

この方法では、AWSプロファイルの認証情報は、AWS Secrets Managerから特定のキーのみを読み取る権限を持つロールに割り当てる必要があります。AWS Secrets Managerのアクセス制御について、詳しくはこちらのウェブページをご参照ください。

例

ksm profile setup --type=aws --secret=ksm-config --credentials=profile --credentials-profile=default

方法3: AWSカスタムキー

KSM CLIで特定のAWSアクセスキーとシークレットキーのペアを使用するように設定できます。この場合、アクセスキーとシークレットキーはローカルのkeeper.iniファイルに保存されます。

例

ksm profile setup --type=aws --secret=ksm-config --credentials=keys --aws-access-key-id XXX --aws-secret-access-key XXX --region XXX

追加のフラグ --fallback を使用すると、初期の認証情報が失敗した場合に、デフォルトのAWSローカル設定からのプロファイルを使用するように指定できます。

KSM CLIのセットアップを完了

セットアップを完了するには、KeeperボルトインターフェースまたはKeeperコマンダーCLIからbase64形式のKSM設定値を生成する必要があります。これについては、クイックスタートガイドにも記載されています。

コマンダーCLIを使用すると、以下のようなコマンドを使用して生成できます。

My Vault> secrets-manager client add --app "My KSM App" --config-init b64

Successfully generated Client Device
====================================

Initialized Config: [Base64 Config....]

以下の手順で使用するために、設定値をコピーします。

このKSMデバイスがKeeperシークレットマネージャーと認証するためには、base64形式のKSM設定値をAWS Secrets Managerに入力する必要があります。例えば、AWS CLIを使用して以下のように設定できます。

aws secretsmanager create-secret --name ksm-config --secret-string '[Base64 Config]'

KSM CLIが機能し、ボルトからシークレットにアクセスできることを確認するには、以下のコマンドを使用します。

ksm secret list

 UID                     Record Type          Title
 ----------------------- -------------------- --------------------------
 n9SdOX1cEyMj9Ttj3lsjYQ  pamUser              IAM Account: demouser
 WfxgS6E_bY_tzdIChYIsAA  login                Amazon AWS - john
 toAfybW5SsbhRT9LtZ7oyg  serverCredentials    QA Server

追加のセットアップオプション

--ini-file <ファイル名> 新しいプロファイルをこのファイルに保存します。 -p、--profile-name <名前> プロファイル名を設定します。設定しない場合、プロファイルは _default として設定されます。

list

現在のクライアントデバイスで利用可能なすべてのプロファイルを一覧で表示します。

ksm profile list

例

$ ksm profile list

  Active   Profile
 ======== ===============
           Production
  *        Test Server 1
           Test Server 2
           Local Dev

export

現在のプロファイルをbase64でエンコードした文字列にエクスポートします。

ksm profile export [--plain] [--file-format] [プロファイル名]

オプションパラメータ

--plain 文字列をbase64でエンコードせずにプロファイルをエクスポートします。
--file-format プロファイルを特定のファイル形式にエクスポートします。利用できる形式は以下のとおりです。
- ini CLIの別のインスタンスで使用されます。
- json CLIおよびその他の開発者用SDKで使用できます。

例

$ ksm profile export my_profile

注: KSM構成に外部ストレージプロバイダを使用する場合、プロファイルはエクスポートできません。

import

暗号化されたbase64エンコード文字列からクライアントデバイスのプロファイルをインポートします。

ksm profile import [--output-file "INI filename"] <BASE64 CONFIG>

オプションパラメータ

--output-file <INIファイル名> INI設定ファイルの作成場所です。設定されていない場合は、現在のディレクトリに作成されます。

$ ksm profile import --output-file=my_profile BASE64_ENC_CONFIG

active

このクライアントデバイスの現在有効なプロファイルを設定します。

ksm profile active <プロファイル名>

例

$ ksm profile active production

production is now the active profile.

delete

現在のクライアントデバイスからプロファイルを削除します。プロファイルは格納先 (OSキーリングまたは keeper.ini) から削除されます。削除したプロファイルが有効プロファイルだった場合、有効プロファイルの指定は解除されます。

ksm profile delete <プロファイル名>

例

$ ksm profile delete "Test Server 1"

Profile Test Server 1 has been deleted.

コンテナ内のプロファイル

コンテナ化された環境内でCLIを実行している場合、プロファイルを初期化できないことがあります。INI構成ファイルが見つからず、環境変数KSM_TOKENが見つかった場合、デフォルトプロファイルが自動生成されます。INI構成ファイルが作成され、現在の作業ディレクトリに格納されます。これは、環境変数KSM_INI_DIRで上書きできます。

デフォルトのINIファイル名

INIファイルのデフォルトの名前はkeeper.iniですが、KSM_INI_FILE環境変数を使用して上書きできます。KSM_INI_DIRおよびKSM_INI_FILE環境変数を使用すると、INI構成ファイルの場所と名前を完全に変更できます。

前へシークレットマネージャーCLI 次へinitコマンド

最終更新 1 か月前