Azure Container Apps

Azureコンテナーアプリでのデプロイ

概要

本ページでは、KeeperオートメーターをAzure Container Appsに公開する手順を取り扱います。クラウド上でオートメーターをホストする簡易な方法です。

Azure Government、GCC High、DoD などの環境では、Azure Container Appsが利用できないリージョンがあるため、Azure App Services の手順を使用してください。

1. オートメーター構成キーの作成

コマンドラインを開き、オペレーティングシステムに応じて以下のいずれかの方法を使用してURLエンコード形式で256ビットAESキーを生成します。

キーの生成

openssl rand -base64 32

[Byte[]]$key = New-Object Byte[] 32; [System.Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($key); [System.Convert]::ToBase64String($key)

このコマンドで生成された値は、手順 3 で使用します。

2. コンテナレジストリの作成

コンテナレジストリがない場合は、新規作成して構成します。例は以下のとおりです。

3. コンテナーアプリの作成

Azureから新しいコンテナーアプリを作成します。

新しいリソースグループを選択または作成します。
コンテナアプリ名を「keeperautomator」または任意の名前に設定します。
デプロイメントソースとして [Container Image] を選択します
サービスをホストしたい地域を選択します。
新しいアプリ環境を作成するか、既存の環境を選択します。
[Next : Container >] をクリックします

4. コンテナの詳細のセットアップ

Container 手順では、以下のとおり設定します。

[Use quickstart image] のチェックを外します
[Docker Hub または他のレジストリ] を選択します
[パブリック] を選択します
レジストリログインサーバーに**docker.io**を選択します
イメージを設定し、**keeper/automator:latest**としてタグを付けます
Container resource allocation に進みます
CPUとメモリは 0.5 CPU コアと 1Gi で十分ですが、新規デバイスログイン数に応じて変更できます
上記の手順1の値を使用して**AUTOMATOR_CONFIG_KEY**という環境変数を作成します
**8089の値を使用してAUTOMATOR_PORT**という環境変数を作成します
**noneの値でSSL_MODE**という環境変数を作成します
[Next : Ingress >] をクリックします

5. イングレスのセットアップ

イングレスセットアップ画面で以下を選択します。

イングレスを有効 (Enable)にします
イングレスのトラフィックを**Accepting traffic from anywhere** にします (後ほど変更します)
イングレスタイプを**HTTP**にします
ターゲットポートを**8089**に設定します

6. コンテナアプリの作成

[Review + Create] をクリックしてから [Create] をクリックします。

数分後、コンテナアプリが作成され自動的に起動します。

[Go to Resource (リソースに移動)] をクリックするとコンテナ環境に移動します。

7. イングレス設定のカスタマイズ

Keeperオートメーターへの通信を制限するには、画面左側 Network セクションの [Ingress] をクリックします。

[Ingress] をクリックします。
[Allow traffic from IPs configured below, deny all other traffic] を選択します。
[Add] をクリックし、Keeperの公開IPとテスト用IPを追加します。詳しくはingress-requirements.mdをご参照ください。
[Save] をクリックします。

ヘルスチェックを実行する場合は、自身のIPアドレスも追加してください。IPアドレスは https://checkip.amazonaws.com で確認できます。

8. スケーリングの設定

[Application] > [Scale] を開き、最小レプリカ数と最大レプリカ数を 1 に設定します
[Save as a new revision] をクリックします

9. ボリュームの作成

[Application] > [Volume] を選択し、[+ 追加] をクリックします。
[Ephemeral Storage] (一時ストレージ) を選択し、任意の名前を付けて [Add] をクリックします。

[Save as a new revision] をクリックします。

10. ヘルスプローブとボリュームマウントのセットアップ

[Application] の [Revisions and replicas] セクションに移動します。
[Create new revision] をクリックします。

[Application] > [Revisions and replicas] をクリックし、新しいリビジョンがアクティブ化されるのを確認します。

次に、[Container] タブをクリックします。
下部にあるコンテナーイメージ名のリンク (この例では「keeperautomator」) をクリックします。

[Health Probes] に移動し、[Liveness probes] の箇所で以下のように設定します。

[Enable liveness probes] をチェック
Transport: HTTP
Path: /health
Port: 8089
Initial delay seconds: 5
Period seconds: 30

[Startup probes] の箇所で以下のように設定します。

[Enable startup probes] をチェック
Transport: HTTP
Path: /health
Port: 8089
Initial delay seconds: 5
Period seconds: 30

[Volume Mounts] のタブで以下のように設定します。

[+ Add] を選択します。
以前の手順で作成したボリュームを選択し、[Mount path] に「/usr/mybin/config」を追加します。

構成を完了します。

[Save] をクリックしてから [Create] をクリックして新しい構成をビルドします。数分後、新しいコンテナが起動します。

11. アプリケーションURLの取得

リビジョンのアクティブ化が完了するまで待ちます。

コンテナーアプリの概要の右側に、割り当てられたアプリケーションURLが表示されます。このURLをコピーして以下の手順で使用します。

(例: https://craigautomator1.xyx-1234.azurecontainerapps.io)

12. Keeperコマンダーにログイン

最後の手順にはKeeperコマンダーが必要です。任意のワークステーションから実行でき、サーバーへのインストールは不要です。

ワークステーションまたはサーバーにKeeperコマンダーCLIをインストールします。バイナリインストーラーを含む手順は Keeperコマンダーのインストールをご参照ください。

インストール後、Keeperコマンダーを起動するか、既存のターミナルで keeper shell を実行してセッションを開き、login コマンドでログインします。オートメーターの設定には、Keeper管理者、またはSSOノードを管理できる管理者としてログインする必要があります。

$ keeper shell

My Vault> login admin@company.com

  _  __  
 | |/ /___ ___ _ __  ___ _ _ 
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
 v16.x.xxx    |_|

 password manager & digital vault

Logging in to Keeper Commander
Enter password for admin@company.com
Password: ********************
Successfully authenticated with Master Password
Syncing...
Decrypted [58] record(s)

My Vault>

13. オートメーターの作成

automator create から始まる一連のコマンドで、ノード名を指定してオートメーターを作成します。

My Vault> automator create --name="My Automator" --node="Azure Cloud"

ノード名 (この場合はAzure Cloud) は、以下のように管理コンソールUIから取得します。

コマンドの出力には、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。

                    Automator ID: 1477468749950
                            Name: My Automator
                             URL: 
                         Enabled: No
                     Initialized: No
                          Skills: Device Approval

URLはまだ空です。これは 手順 11 で取得した Application URL です。

以下のとおり automator edit コマンドを実行し、URLとスキル (team、team_for_user、device) を設定します。

automator edit --url https://<application URL> --skill=team --skill=team_for_user --skill=device "My Automator"

続いてキーを交換します。オートメーター公開キーで暗号化したエンタープライズ秘密キーがオートメーターに渡されます。

automator setup "My Automator"

新しい構成でオートメーターを初期化します。

automator init "My Automator"

サービスを有効にします。

automator enable "My Automator"

この時点で構成は完了です。

外部ヘルスチェックには、以下のURLを使用できます。

https://<server>/health

以下は、curl コマンドの使用例です。

$ curl https://craigautomator1.xyz.azurecontainerapps.io/health
OK

ユーザー体験のテスト

Keeperオートメーターのデプロイが完了したら、エンドユーザー体験をテストできます。SSO IDプロバイダで認証後、承認プロンプトは表示されません。

最も簡単な方法は、ブラウザのシークレットモードでKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認のプロンプトは表示されません。

高度な機能

Azure Container Appsには、本ページの範囲外の高度な機能が多数あります。以下はその一例です。

複数のコンテナーでのスケーリング

複数のコンテナでKeeperオートメーターサービスを実行したい場合は以下を行います。

[Scale and replicas] をクリックします。
[Edit and deploy] をクリックします。
[Scale] タブをクリックします。
コンテナーの最小数および最大数を選択します。最小数は少なくとも1にします。
[Create] をクリックします。
1分後に新しいバージョンがデプロイされます。
コンテナーの数に応じて何度かautomator setup xxxを実行します (コンテナーにつき1回)。
コンテナーの数に応じて何度かautomator init xxxを実行します (コンテナーにつき1回)。

ログ作成

Keeperオートメーターのログは、「コンソール」または「ログストリーム」を使用して表示および監視できます。

たとえば、実行中のオートメーターサービスのログファイルを追跡するには以下のようにします。

[Console] をクリックします
/bin/sh を選択します
[Connect] をクリックします
プロンプトで tail -f logs/keeper-automator.log を実行します

高度な設定

環境変数でランタイム機能の有効/無効を切り替えられます。変数の一覧は高度な設定をご参照ください。

前へイングレス要件

次へAzure App Services

最終更新 1 か月前