syncコマンド

Keeperボルトから外部のシークレットマネージャーに選択したキーを同期

同期は一方向のみで、Keeperを信頼できる情報源 (読み取り専用) として使用し、外部のシークレットマネージャー内のリモートのキー・バリューペアのみを更新します。

syncコマンド

説明: Keeperボルトからシークレットをインポートし、外部のシークレット管理システムと同期します。

ksm sync --credentials <UID> --type [aws|azure|gcp|json] [--dry-run] [--preserve-missing] --map <KEY NOTATION>...

ksm profile init <TOKEN> で初期化したシークレットマネージャープロファイルが必要です。 詳細については、profileコマンドのページをご参照ください。

JSON以外の各ターゲットには、CLIに既定では同梱されていないPythonパッケージが必要です。同期先に応じて、以下をインストールしてください。

• AWS (--type aws): pip3 install 'keeper-secrets-manager-cli[aws]'
• Azure (--type azure): pip3 install azure-identity azure-keyvault-secrets
• GCP (--type gcp): pip3 install --upgrade google-cloud-secret-manager google-auth

--type json オプションでは追加の依存関係は不要です。

パラメータ:

• -t, --type ターゲットのキー/値ストレージのタイプ。使用できるタイプは以下のとおりです。

  • aws — AWS Secrets Manager
  • azure — Azure Key Vault
  • gcp — GCP Secret Manager
  • json — 送信元と送信先の両方の値を含む、保留中の同期操作をすべて一覧表示します。
• -m, --map <KEY NOTATION> 表記法のURIを使用して、送信先のキー名を値にマッピングします。
• -c, --credentials <uid> 送信先のキー/値ストレージにアクセスするための認証情報を格納したKeeperレコードのUID。指定したレコードは、Keeperシークレットマネージャーアプリケーションに共有されている必要があります。

オプションパラメータ:

• -n, --dry-run 変更を加えずにテストで実行します。
• -p, --preserve-missing 送信元の値が削除されても、送信先の値を保持します。

AWS固有のオプション

• -r, --record <RECORD> タイトルまたはUIDを指定して、個別のレコードを同期します。複数回指定できます。
• -f, --folder <FOLDER> 指定したフォルダ内のすべてのレコードを同期します (再帰処理は行いません)。
• -fr, --folder-recursive <FOLDER> 指定したフォルダおよびその配下のすべてのサブフォルダを再帰的に同期します。
• -rj, --raw-json 完全な生のJSONをKMSシークレットに保存します (secret get <UID> --json と同じ形式)。

詳しい例については、AWS Secrets Managerとの同期をご参照ください。

crontabを使用した自動化

cronジョブを使用することで、シークレットの同期を自動化できます。

例1: 毎日のシンプルな同期

毎日午前2時に1回同期します。

# crontabを編集
crontab -e

# Productionフォルダを毎日2:00に同期する行を追加
0 2 * * * /usr/local/bin/ksm sync -t aws -c <CRED_UID> --folder-recursive "Production" >> /var/log/ksm-sync.log 2>&1

例2: 複数同期を行う高度なスクリプト

異なるマッピングを使用して複数の同期処理を行う場合は、シェルスクリプトを作成します。

/home/user/scripts/ksm-sync-all.sh を作成します。

#!/usr/bin/env bash

# 設定
CRED_UID="<YOUR_AWS_CRED_UID>"

# 複数のカスタムマッピングを使用した同期
ksm sync -t aws -c "$CRED_UID" \
    --map "legacy-db-password" "keeper://<UID>/field/password" \
    --map "api_key" "keeper://<UID>/custom_field/api_key" \
    --map "db_host" "keeper://<UID>/custom_field/hostname" \
    >> /var/log/ksm-sync.log 2>&1

# マッピング数が多い場合は、複数の同期コマンドに分割します
ksm sync -t aws -c "$CRED_UID" \
    --map "db_password" "keeper://<UID>/field/password" \
    --map "db_login" "keeper://<UID>/custom_field/login" \
    >> /var/log/ksm-sync.log 2>&1

スクリプトに実行権限を付与します。

chmod +x /home/user/scripts/ksm-sync-all.sh

6時間ごとに実行するようcrontabに追加します。

# crontabを編集
crontab -e

# 6時間ごとに同期スクリプトを実行
0 */6 * * * /home/user/scripts/ksm-sync-all.sh

同期タイプ

外部プロバイダーを選び、統合の詳細は各リンク先のページをご参照ください。

AWSシークレットマネージャー同期Azure Key Vaultとの同期Google Cloud Secret Managerとの同期