> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/sso-connect-cloud/jp/device-approvals/automator/azure-app-services.md). # Azure App Services
## 概要 本ページでは、Azure App Services上でKeeperオートメーターをウェブアプリとしてデプロイする手順を取り扱います。GCC HighやDoDなどの環境では、このサービスでオートメーターをホストできます。 ### 1. オートメーター構成キーの作成 コマンドラインを開き、オペレーティングシステムに応じて以下のいずれかの方法を使用してURLエンコード形式で256ビットAESキーを生成します。 #### キーの作成 {% tabs %} {% tab title="Mac/Linux" %} ``` openssl rand -base64 32 ``` {% endtab %} {% tab title="Windows (PowerShell)" %} ```powershell [Byte[]]$key = New-Object Byte[] 32; [System.Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($key); [System.Convert]::ToBase64String($key) ``` {% endtab %} {% endtabs %} このコマンドで生成された値は、**手順 6** で使用します。

Mac/Linuxで生成されたキー値の例

PowerShellで生成されたキー値の例

### 2. App Servicesウェブアプリを作成 Azureポータルで検索バーから **\[App Services]** を選び、**\[+ 作成]** > **\[+ Web アプリ]** で新しいウェブアプリを作成します。
* 新しいリソースグループを作成します。 * **\[インスタンスの詳細]** の **\[名前]** に名前を入力します。 * **\[公開]** を **\[コンテナー]** に設定します。 * **\[オペレーティング システム]** を **\[Linux]** に設定します。 * サービスをホストする地域を選択します。 * Linuxプランを選択するか新規作成します。料金プランは最低 **\[Premium V3 P0V3]** ですが、最終的なプランは利用環境に応じて異なります。 * **\[コンテナー]** セクションへ進みます。
### 3. コンテナの詳細をセットアップ **\[コンテナー]** セクションでは以下のとおり設定します。 * **\[イメージ ソース]:** **\[その他のコンテナー レジストリ]** * **\[アクセスの種類]:** **\[パブリック]** * **\[レジストリ サーバー URL]:** **** (デフォルト入力済み) * **\[イメージとタグ]:** **`keeper/automator:latest`** * **\[監視 + セキュリティ]** セクションへ進みます。
### 4. WebAppモニタリングの設定 * **\[Application Insights を有効にする]** を **\[はい]** に設定します。 * **\[Application Insights]** を選択するか、新規作成します。 * **\[確認および作成]** セクションへ進みます。
### 5. WebAppの作成 **\[作成]** をクリックします。 数分後、WebAppが作成され、自動的に起動します。 **\[リソースに移動]** をクリックしてリソース画面へ移動します。
**\[既定のドメイン]** の値を控えます。オートメーターのセットアップと初期化で使用します。
### 6. WebAppの構成 **\[構成]** を開き、**\[新しいアプリケーション設定]** を選択します。
環境変数は、UIによっては左側メニューの **\[環境変数]** から設定する場合があります。
以下のアプリケーション設定を追加します。 * 以下の環境変数を作成します。 * **AUTOMATOR\_CONFIG\_KEY:** 手順 1 で生成した値 * **AUTOMATOR\_PORT:** 8089 * **SSL\_MODE:** none * **WEBSITES\_PORT:** 8089
* **\[適用]** をクリックします。
### 7. Diagnosticsの設定 **\[診断設定]** を開き、**\[+ 診断設定を追加する]** をクリックします。
* 診断設定名を入力します。 * **\[App Service コンソール ログ]** を選択します。 * **\[App Service アプリケーション ログ]** を選択します。 * **\[Log Analytics ワークスペースへの送信]** を選択します。 * Log Analyticsワークスペースを選択するか、新規作成します。
### 8. ログの設定 メインメニューから **\[ログ]** を選択し、**\[X]** でクエリウィンドウを閉じます。
**\[シンプル モード]** から **\[KQL モード]** に切り替え、新しいクエリを追加します。
以下は、Dockerのデプロイおよび起動ログを確認するKQLクエリです。 ```powershell AppServicePlatformLogs project TimeGen=substring(TimeGenerated, 0, 19), Message sort by TimeGen desc ``` 以下は、アプリケーションのエラーログを確認するKQLクエリです。 ```powershell AppServiceConsoleLogs project TimeGen=substring(TimeGenerated, 0, 19), ResultDescription sort by TimeGen desc ``` ### 9. App Serviceログの設定 メインメニュー **\[監視]** から **\[App Service ログ]** を選択し、**\[アプリケーション ログ]** の **\[ファイル システム]** を選んで保持期間を設定します。 **\[保存]** をクリックします。
### 10. Log Streamの確認 メインメニュー **\[概要]** から **\[ログ ストリーム]** を開き、オートメーターが接続されログが記録されていることを確認します。
### 11. 正常性チェックの構成 メインメニュー **\[監視]** から **\[正常性チェック]** を選択します。**\[有効]** にし、**\[パス]** を **`/health`** に設定します。**\[保存]** で保存し、確認の **\[保存]** でもう一度保存します。
### 12. アクセス制限の構成 **\[ネットワーク]** セクションでアクセスルールやAzure Front Doorを設定できます。メインメニューから **\[ネットワーク]** を開き、**\[アクセス制限なしで有効]** をクリックします。
**\[アクセス制限]** で **\[選択した仮想ネットワークと IP アドレスから有効]** を選び、**\[不一致のルール アクション]** を **\[拒否]** にします。**\[+ 追加]** で受信アクセスルールを追加します。
**\[ルールの追加]** で受信ファイアウォールルールを追加します。トラフィックは、以下のページに記載の各地域向け **\[ネットワーク ファイアウォールの設定]** として公開されているKeeper IPアドレスに制限してください。 {% content-ref url="/pages/MWsRxgCXmgNrGbXqVgAW" %} [イングレス要件](/sso-connect-cloud/jp/device-approvals/automator/ingress-requirements.md) {% endcontent-ref %} **\[ルールの追加]** をクリックします。
**\[保存]** をクリックして構成を保存します。
### 13. Keeperコマンダーへのログイン オートメーター構成の最終手順にはKeeperコマンダーが必要です。任意のワークステーションから実行でき、サーバーへのインストールは不要です。KeeperコマンダーCLIのインストール手順は[Keeperコマンダーのインストール](/keeperpam/jp/commander-cli/commander-installation-setup.md)をご参照ください。 インストール後、Keeperコマンダーを起動するか、既存のターミナルから `keeper shell` と入力してセッションを開き、`login`コマンドを使用してログインします。オートメーターを設定するには、Keeper管理者またはSSOノードを管理できる管理者としてログインする必要があります。 ``` $ keeper shell My Vault> login admin@company.com _ __ | |/ /___ ___ _ __ ___ _ _ | ' ``` ### 14. オートメーターを作成 `automator create` から始まる一連のコマンドを使用してオートメーターを作成します。 ``` My Vault> automator create --name "My Automator" --node "Azure Cloud" ``` ノード名 (この場合は「Azure Cloud」) は、以下のように管理コンソールUIから取得します。

オートメーターの作成

コマンドを実行すると、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。 ``` Automator ID: 1477468749950 Name: My Automator URL: Enabled: No Initialized: No Skills: Device Approval ``` URLはまだ空です。これは[手順5](#id-5-webappwo)で控えた **\[既定のドメイン]** の値です。 以下のとおり `automator edit` コマンドを実行し、URLとスキル (`team`、`team_for_user`、`device`) を設定します。 {% code overflow="wrap" %} ``` automator edit --url https:// --skill=team --skill=team_for_user --skill=device "My Automator" ``` {% endcode %} 次に、キーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーが オートメーターに提供されます。 ``` automator setup "My Automator" ``` 新しい構成でオートメーターを初期化します。 ``` automator init "My Automator" ``` サービスを有効にします。 ``` automator enable "My Automator" ``` この時点で構成は完了となります。 外部ヘルスチェックには、以下のURLを使用できます。 https\://\/health 以下は、`curl` コマンドの使用例です。 ``` $ [rainer@iradar keeper]$ curl -vk https://keeperapprovalautomator.azurewebsites.net/health * About to connect() to keeperapprovalautomator.azurewebsites.net port 443 (#0) * Trying 40.112.243.106... * Connected to keeperapprovalautomator.azurewebsites.net (40.112.243.106) port 443 (#0) * Initializing NSS with certpath: sql:/etc/pki/nssdb * skipping SSL peer certificate verification * SSL connection using TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 * Server certificate: * subject: CN=*.azurewebsites.net,O=Microsoft Corporation,L=Redmond,ST=WA,C=US * start date: Oct 31 23:08:36 2023 GMT * expire date: Jun 27 23:59:59 2024 GMT * common name: *.azurewebsites.net * issuer: CN=Microsoft Azure TLS Issuing CA 01,O=Microsoft Corporation,C=US > GET /health HTTP/1.1 > User-Agent: curl/7.29.0 > Host: keeperapprovalautomator.azurewebsites.net > Accept: */* > < HTTP/1.1 200 OK < Content-Length: 2 < Content-Type: text/plain < Date: Sat, 23 Mar 2024 05:08:13 GMT < Server: Jetty(11.0.20) < Strict-Transport-Security: max-age=31622400; includeSubDomains < * Connection #0 to host keeperapprovalautomator.azurewebsites.net left intact ``` ### ユーザー体験のテスト Keeperオートメーターがデプロイされましたので、ユーザー体験をテストできます。ユーザーが SSO IDプロバイダで認証した後は、承認を求めるプロンプトが表示されなくなります。 最も簡単な方法は、ブラウザのシークレットモードでKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認のプロンプトは表示されません。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.keeper.io/sso-connect-cloud/jp/device-approvals/automator/azure-app-services.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.