Azure App Gateway (高度な設定)

Azure App Gatewayサービスを使用してKeeperオートメーターをAzure Container Instancesにデプロイ

概要

本ガイドでは、Azure Application Gatewayを使い、セキュアなVNet上でKeeperオートメーターを公開する手順を取り扱います。Azure App Gatewayや暗号化SAMLリクエストが不要な場合は、Azure Container App の手順を使用してください。

この方式では、SSL証明書を事前に用意してください。未作成の場合はカスタムSSL証明書の手順をご参照ください。

手順

Azureクラウドシェルを開く

portal.azure.com にログインし、Cloud Shell アイコンをクリックします。

ご希望の地域でリソースグループを作成

Azureにリソースグループがない場合は作成します。例では eastus を使用していますが、ご利用のリージョンに置き換えてください。

az group create --name keeper_automator_rg --location eastus

3. ストレージアカウントの作成

ストレージアカウントがない場合は作成します。正しいリージョン (例: eastus) と上記リソースグループ名を使用してください。keeperautomatorstorage を置き換える名前は、Azure全体で一意である必要があります。

az storage account create -n keeperautomatorstorage -g keeper_automator_rg -l eastus --sku Standard_LRS

4. ファイルシェアの作成

ファイルシェアが存在しない場合は作成します。

az storage share create --account-name keeperautomatorstorage --name keeperautomatorfileshare

現在のファイルシェアを一覧表示します。

az storage share list --account-name keeperautomatorstorage

コンテナ用のVNetとサブネットを作成

az network vnet create --address-prefixes 10.100.0.0/16 --name keeper_automator_vnet --resource-group keeper_automator_rg --subnet-name keeper_automator_subnet --subnet-prefixes 10.100.2.0/24

バーチャルネットワークをサービスエンドポイントで更新

az network vnet subnet update -g keeper_automator_rg -n keeper_automator_subnet --vnet-name keeper_automator_vnet --service-endpoints Microsoft.Storage --delegations Microsoft.ContainerInstance/containerGroups

7. ストレージキーの取得

ストレージキーは以下のコマンドで取得します。ストレージアカウント名は実際の名前に置き換えてください。

az storage account keys list --resource-group keeper_automator_rg --account-name keeperautomatorstorage

出力の key1 値をコピーします。

"value": "zuVgm9xnQNnxCQzY=5n4Ec6kxhDn2xMZSfpwZnTeqsyGaHd5Abn584mpAP3xamg3rGns4=Fd7FeFsaR6AgtnqW=="

サブネットIDの取得

サブネットIDを見つけるには以下のコマンドを実行します。

az network vnet subnet list --resource-group keeper_automator_rg --vnet-name keeper_automator_vnet | grep "id"

サブネットIDは _subnet で終わるフルパスをコピーします。例:

"id": "/subscriptions/abc123-abc123-abc-123/resourceGroups/keeper_automator_rg/providers/Microsoft.Network/virtualNetworks/keeper_automator_vnet/subnets/keeperautomator_appgw_subnet"

9. YAMLコンテナファイルの作成

ローカルに automator などの名前でフォルダを作成します。

任意のエディタで、そのフォルダ内に automator.yml を作成し、以下の内容を記述します。

automator.yml

apiVersion: '2021-07-01'
location: eastus
name: keeperautomatorcontainer
properties:
  containers:
  - name: keeperautomatorcontainer
    properties:
      image: keeper/automator:latest
      ports:
      - port: 443
        protocol: TCP
      resources:
        requests:
          cpu: 1.0
          memoryInGB: 1.5
      volumeMounts:
        - name: automatorvolume
          mountPath: /usr/mybin/config
  osType: Linux
  restartPolicy: Always
  sku: Standard
  volumes:
  - name: automatorvolume
    azureFile:
      shareName: keeperautomatorfileshare
      readOnly: false
      storageAccountName: keeperautomatorstorage
      storageAccountKey: XXX-YOUR-KEY-XXX
  subnetids:
    - id: /subscriptions/XXX-YOUR-SUBNET/path/to/subnets/keeper_automator_subnet
      name: keeper_automator_subnet
tags: null
type: Microsoft.ContainerInstance/containerGroups

以下の値は、前の手順の構成に合わせて置き換えてください。

subnet ID: 手順 8 で取得したフルパスと一致させる
storageAccountName: 手順 3 の値と一致させる
storageAccountKey: 手順 7 の値と一致させる

SSL証明書とSSLパスワードファイルのアップロード

Azureポータルで Resource Group > Storage Account > File Share を開き、作成したオートメーターファイルシェアに automator.yml、SSL証明書、SSL証明書パスワードファイルをアップロードします。

ファイル名は automator.yml、ssl-certificate.pfx、ssl-certificate-password.txt であることを確認してください。

3つのファイルをCLIワークスペースにコピー

az storage copy -s https://keeperautomatorstorage.file.core.windows.net/keeperautomatorfileshare/automator.yml -d .

az storage copy -s https://keeperautomatorstorage.file.core.windows.net/keeperautomatorfileshare/ssl-certificate.pfx -d .

az storage copy -s https://keeperautomatorstorage.file.core.windows.net/keeperautomatorfileshare/ssl-certificate-password.txt -d .

コンテナーインスタンスの作成

automator.ymlの設定を使用してコンテナーを作成します。

az container create -g keeper_automator_rg -f automator.yml

応答からコンテナの Internal IP を取得します。

az container show --name keeperautomatorcontainer --resource-group keeper_automator_rg --query ipAddress.ip --output tsv

後続手順用に、このIPの変数を設定します。例:

$aciPrivateIp=10.100.2.4

aciPrivateIp=10.100.2.4

アプリケーションゲートウェイサブネットの作成

az network vnet subnet create --name keeperautomator_appgw_subnet --resource-group keeper_automator_rg --vnet-name keeper_automator_vnet --address-prefix 10.100.1.0/24

アプリケーションゲートウェイの作成

az network application-gateway create --name KeeperAutomatorAppGateway --location eastus --resource-group keeper_automator_rg --sku Standard_v2 --public-ip-address AGPublicIPAddress --cert-file ssl-certificate.pfx --cert-password XXXXXX --vnet-name keeper_automator_vnet --subnet keeperautomator_appgw_subnet --frontend-port 443 --http-settings-port 443 --http-settings-protocol Https --servers 10.100.2.4 --priority 100

XXXXXX をSSL証明書のパスワードに置き換えていることを確認してください。

パブリックIPを見つける

Azureポータルで Resource Group > App Gateway を開き、パブリックIPアドレスを控えます。

DNSのルーティング

オートメーターのDNS (例: automator.company.com) が、手順 15 で取得したIPアドレスを指していることを確認してください。

DNS名はSSL証明書のサブジェクト名と一致する必要があります。一致しない場合、リクエストは失敗します。

正常性プローブの作成

正常性プローブは、App Gatewayにオートメーターの稼働状態を通知します。AzureポータルでオートメーターApp Gatewayを開き、左メニューの Health probes をクリックします。

スクリーンショットの設定で新しい正常性プローブを作成します。Host は手順 16 のFQDNに置き換えてください。

Test をクリックしてプローブを追加します。コンテナIPがホスト名に正しく解決されていれば、テストは成功します。

ウェブアプリケーションファイアウォールの設定

Keeperオートメーターサービスは、インバウンドトラフィックの送信元をKeeperのインフラストラクチャのみに限定するため、インバウンドファイアウォールルールを設定して導入する必要があります。

AzureポータルでオートメーターApp Gatewayを開き、左メニューの Web application firewall をクリックします。WAF V2を有効にし、画面どおりに設定します。

Rules タブでルールセット OWASP 3.2 を選び、Enabled と Save をクリックします (重要な手順です)。

🎉 Azure上のインストールは完了です。

最後にKeeperコマンダーを使ってオートメーターの設定を行います。

Keeperコマンダーのインストール

この時点でサービスは稼働していますが、Keeperとはまだ通信できません。

ワークステーション、サーバー、または任意のコンピュータにKeeperコマンダーCLIをインストールします (初期設定のみ)。手順は Keeperコマンダーのインストールをご参照ください。コマンダーを開き、login コマンドでログインします。Keeper管理者、またはSSOノードを管理できる管理者としてログインしてください。

My Vault> login admin@company.com

コマンダーでの初期設定

Keeperコマンダーにログインし、automator createで始まる一連のコマンドを使用してオートメーターを有効にします。

automator create --name="My Automator" --node="Azure Cloud"

ノード名 (この場合はAzure Cloud) は、以下のように管理コンソールのUIから取得します。

コマンドの出力には、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。

                    Automator ID: 1477468749950
                            Name: My Automator
                             URL: 
                         Enabled: No
                     Initialized: No
                          Skills: Device Approval

URLはまだ空です。選択したFQDNでURLを編集します。

automator edit --url=https://automator.lurey.com --skill=team --skill=team_for_user --skill=device "My Automator"

次に、キーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターに提供されます。

automator setup "My Automator"

新しい設定でオートメーターを初期化します。

automator init "My Automator"

サービスを有効にします。

automator enable "My Automator"

この時点で設定は完了です。

自動ヘルスチェックには、以下のURLを使用できます。

https://<server>/health

以下は、curl コマンドの使用例です。

$ curl https://automator.lurey.com/health
OK

このURLはウェブブラウザでは開きません。

21. AD FS環境の場合

IDプロバイダにAD FSを使用する場合、以下の手順でKeeper証明書を更新するまでログインできません。

Keeper管理コンソールにログインします
Admin > SSO Node > Provisioning を開き、クラウドSSOコネクトの構成を表示します
Export SP Cert をクリックします
AD FS管理コンソールで、Keeper Cloud SSO Relying Party Trust のプロパティを開きます
Encryption タブで、古い証明書を新しい証明書に置き換えます
Signature タブで、新しいSP証明書を追加または置き換えます

セットアップ完了

オートメーターサービスが稼働している状態になります。

Azure Portal

Azure Portal の Container Instances でコンテナの稼働を確認できます。/bin/sh でコンテナに接続し、実行ログを表示することもできます。

コンテナ再起動時のIP更新

この構成では、コンテナ再起動時に /24 サブネットから新しいIPが割り当てられる場合があります。新しいIPを取得し、Application Gateway バックエンドプールを更新するには、Azure CLIで以下のスクリプトを実行します。

# change these 3 variables according to your setup
RESOURCE_GROUP="keeper_automator_rg"
GATEWAY_NAME="KeeperAutomatorAppGateway"
CONTAINER_NAME="keeperautomatorcontainer"

BACKEND_POOL_NAME="appGatewayBackendPool"

CONTAINER_IP=$(az container show --resource-group $RESOURCE_GROUP --name $CONTAINER_NAME --query 'ipAddress.ip' --output tsv)

az network application-gateway address-pool update --resource-group $RESOURCE_GROUP --gateway-name $GATEWAY_NAME --name $BACKEND_POOL_NAME --servers $CONTAINER_IP

オートメーターのテスト

Keeperオートメーターがデプロイされましたので、エンドユーザー体験のテストが可能です。ユーザーが SSO IDプロバイダーで認証した後は、承認を求めるプロンプトは必要ありません。

最も簡単な方法は、ブラウザのシークレットモードで Keeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認のプロンプトが表示されなければ、オートメーターは正常に動作しています。

前へAzure App Services

次へAWS Elastic Containerサービス

最終更新 25 日前