Azure App Services

Azure App Servicesでデプロイ

概要

本ページでは、Azure App Services上でKeeperオートメーターをウェブアプリとしてデプロイする手順を取り扱います。GCC HighやDoDなどの環境では、このサービスでオートメーターをホストできます。

1. オートメーター構成キーの作成

コマンドラインを開き、オペレーティングシステムに応じて以下のいずれかの方法を使用してURLエンコード形式で256ビットAESキーを生成します。

キーの作成

openssl rand -base64 32

[Byte[]]$key = New-Object Byte[] 32; [System.Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($key); [System.Convert]::ToBase64String($key)

このコマンドで生成された値は、手順 6 で使用します。

2. App Servicesウェブアプリを作成

Azureポータルで検索バーから [App Services] を選び、[+ 作成] > [+ Web アプリ] で新しいウェブアプリを作成します。

新しいリソースグループを作成します。
[インスタンスの詳細] の [名前] に名前を入力します。
[公開] を [コンテナー] に設定します。
[オペレーティングシステム] を [Linux] に設定します。
サービスをホストする地域を選択します。
Linuxプランを選択するか新規作成します。料金プランは最低 [Premium V3 P0V3] ですが、最終的なプランは利用環境に応じて異なります。
[コンテナー] セクションへ進みます。

3. コンテナの詳細をセットアップ

[コンテナー] セクションでは以下のとおり設定します。

[イメージソース]: [その他のコンテナーレジストリ]
[アクセスの種類]: [パブリック]
[レジストリサーバー URL]: https://index.docker.io (デフォルト入力済み)
[イメージとタグ]: keeper/automator:latest
[監視 + セキュリティ] セクションへ進みます。

4. WebAppモニタリングの設定

[Application Insights を有効にする] を [はい] に設定します。
[Application Insights] を選択するか、新規作成します。
[確認および作成] セクションへ進みます。

5. WebAppの作成

[作成] をクリックします。

数分後、WebAppが作成され、自動的に起動します。

[リソースに移動] をクリックしてリソース画面へ移動します。

[既定のドメイン] の値を控えます。オートメーターのセットアップと初期化で使用します。

6. WebAppの構成

[構成] を開き、[新しいアプリケーション設定] を選択します。

環境変数は、UIによっては左側メニューの [環境変数] から設定する場合があります。

以下のアプリケーション設定を追加します。

以下の環境変数を作成します。
- AUTOMATOR_CONFIG_KEY: 手順 1 で生成した値
- AUTOMATOR_PORT: 8089
- SSL_MODE: none
- WEBSITES_PORT: 8089

[適用] をクリックします。

7. Diagnosticsの設定

[診断設定] を開き、[+ 診断設定を追加する] をクリックします。

診断設定名を入力します。
[App Service コンソールログ] を選択します。
[App Service アプリケーションログ] を選択します。
[Log Analytics ワークスペースへの送信] を選択します。
- Log Analyticsワークスペースを選択するか、新規作成します。

8. ログの設定

メインメニューから [ログ] を選択し、[X] でクエリウィンドウを閉じます。

[シンプルモード] から [KQL モード] に切り替え、新しいクエリを追加します。

以下は、Dockerのデプロイおよび起動ログを確認するKQLクエリです。

AppServicePlatformLogs
project TimeGen=substring(TimeGenerated, 0, 19), Message
sort by TimeGen desc

以下は、アプリケーションのエラーログを確認するKQLクエリです。

AppServiceConsoleLogs
project TimeGen=substring(TimeGenerated, 0, 19), ResultDescription
sort by TimeGen desc

9. App Serviceログの設定

メインメニュー [監視] から [App Service ログ] を選択し、[アプリケーションログ] の [ファイルシステム] を選んで保持期間を設定します。

[保存] をクリックします。

10. Log Streamの確認

メインメニュー [概要] から [ログストリーム] を開き、オートメーターが接続されログが記録されていることを確認します。

11. 正常性チェックの構成

メインメニュー [監視] から [正常性チェック] を選択します。[有効] にし、[パス] を /health に設定します。[保存] で保存し、確認の [保存] でもう一度保存します。

12. アクセス制限の構成

Keeperオートメーターサービスは、インバウンドトラフィックの送信元をKeeperのインフラストラクチャのみに限定するため、インバウンドファイアウォールルールを設定して導入する必要があります。

[ネットワーク] セクションでアクセスルールやAzure Front Doorを設定できます。メインメニューから [ネットワーク] を開き、[アクセス制限なしで有効] をクリックします。

[アクセス制限] で [選択した仮想ネットワークと IP アドレスから有効] を選び、[不一致のルールアクション] を [拒否] にします。[+ 追加] でインバウンドアクセスルールを追加します。

[ルールの追加] でインバウンドファイアウォールルールを追加します。トラフィックは、以下のページに記載の各地域向け [ネットワークファイアウォールの設定] として公開されているKeeper IPアドレスに必ず制限してください。

インバウンド要件

[ルールの追加] をクリックします。

[保存] をクリックして構成を保存します。

13. Keeperコマンダーへのログイン

オートメーター構成の最終手順にはKeeperコマンダーが必要です。任意のワークステーションから実行でき、サーバーへのインストールは不要です。KeeperコマンダーCLIのインストール手順はKeeperコマンダーのインストールをご参照ください。

インストール後、Keeperコマンダーを起動するか、既存のターミナルから keeper shell と入力してセッションを開き、loginコマンドを使用してログインします。オートメーターを設定するには、Keeper管理者またはSSOノードを管理できる管理者としてログインする必要があります。

$ keeper shell

My Vault> login admin@company.com

  _  __  
 | |/ /___ ___ _ __  ___ _ _ 
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
 v16.x.xxx    |_|

 password manager & digital vault

Logging in to Keeper Commander
Enter password for admin@company.com
Password: ********************
Successfully authenticated with Master Password
Syncing...
Decrypted [58] record(s)

My Vault>

14. オートメーターを作成

automator create から始まる一連のコマンドを使用してオートメーターを作成します。

My Vault> automator create --name "My Automator" --node "Azure Cloud"

ノード名 (この場合は「Azure Cloud」) は、以下のように管理コンソールUIから取得します。

コマンドを実行すると、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。

                    Automator ID: 1477468749950
                            Name: My Automator
                             URL: 
                         Enabled: No
                     Initialized: No
                          Skills: Device Approval

URLはまだ空です。これは手順5で控えた [既定のドメイン] の値です。

以下のとおり automator edit コマンドを実行し、URLとスキル (team、team_for_user、device) を設定します。

automator edit --url https://<Default domain> --skill=team --skill=team_for_user --skill=device "My Automator"

次に、キーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターに提供されます。

automator setup "My Automator"

新しい構成でオートメーターを初期化します。

automator init "My Automator"

サービスを有効にします。

automator enable "My Automator"

この時点で構成は完了となります。

外部ヘルスチェックには、以下のURLを使用できます。

https://<server>/health

以下は、curl コマンドの使用例です。

$ [rainer@iradar keeper]$ curl -vk https://keeperapprovalautomator.azurewebsites.net/health
* About to connect() to keeperapprovalautomator.azurewebsites.net port 443 (#0)
*   Trying 40.112.243.106...
* Connected to keeperapprovalautomator.azurewebsites.net (40.112.243.106) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* skipping SSL peer certificate verification
* SSL connection using TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
* Server certificate:
*       subject: CN=*.azurewebsites.net,O=Microsoft Corporation,L=Redmond,ST=WA,C=US
*       start date: Oct 31 23:08:36 2023 GMT
*       expire date: Jun 27 23:59:59 2024 GMT
*       common name: *.azurewebsites.net
*       issuer: CN=Microsoft Azure TLS Issuing CA 01,O=Microsoft Corporation,C=US
> GET /health HTTP/1.1
> User-Agent: curl/7.29.0
> Host: keeperapprovalautomator.azurewebsites.net
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Length: 2
< Content-Type: text/plain
< Date: Sat, 23 Mar 2024 05:08:13 GMT
< Server: Jetty(11.0.20)
< Strict-Transport-Security: max-age=31622400; includeSubDomains
<
* Connection #0 to host keeperapprovalautomator.azurewebsites.net left intact

ユーザー体験のテスト

Keeperオートメーターがデプロイされましたので、ユーザー体験をテストできます。ユーザーが SSO IDプロバイダで認証した後は、承認を求めるプロンプトが表示されなくなります。

最も簡単な方法は、ブラウザのシークレットモードでKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認のプロンプトは表示されません。

前へAzure Container Apps

次へAzure App Gateway (高度な設定)

最終更新 18 日前