Docker Compose
Docker Compose方式によるKeeperオートメーターのインストール
本ページでは、DockerまたはDocker Composeを実行できるLinuxインスタンスにKeeperオートメーターを公開する手順を取り扱います。
Docker Composeは標準のDockerと比べて、以下の利点があります。
コンテナの更新間でデータが保持されます
将来の更新のインストールと保守が簡単です
1. DockerとDocker Composeをインストール
DockerとDocker Composeのインストール手順はプラットフォームによって異なります。以下の公式ドキュメントをご参照ください。
Linux向けのクイックガイド:
インストール後、Dockerサービスが実行されていない場合は、Dockerサービスを開始する必要がある場合があります。
続いて、サービスが自動的に開始するように設定します。
root以外のユーザーにDockerの実行を許可するには (セキュリティ要件を満たしている場合)、以下のコマンドを実行します。
2. docker-compose.ymlファイルを作成
以下のコードを docker-compose.yml ファイルとして、サーバー上で docker compose コマンドを実行する場所に保存します。
3. コンテナをインストールして起動
4. SSL証明書とパスワードファイルをコピー
SSL証明書作成のページで作成したSSL証明書とパスワードファイルをコピーします。
5. 新しい証明書でサービスを再起動
6. Keeperコマンダーをインストール
この時点でサービスは実行中ですが、Keeperとはまだ通信できない状態です。
ご利用のワークステーション、サーバー、コンピュータなどにKeeperコマンダーCLIをインストールします。初期設定にのみ使用します。バイナリインストーラーを含むインストール手順についてはこちらのページをご参照ください。
コマンダーをインストールした後、keeper shell と入力してセッションを開き、login コマンドを使用してログインできます。オートメーターを設定するには、Keeper管理者、またはSSOノードを管理できる管理者としてログインする必要があります。
コマンダーで初期化
Keeperコマンダーにログインし、automator create で始まる一連のコマンドを使用してオートメーターを有効化します。
ノード名 (この場合は「Azure Cloud」) は、以下に示すように管理コンソールのUIに表示されます。
コマンドの出力には、IDプロバイダから取得したメタデータを含むオートメーターの設定が表示されます。
URLはまだ設定されていません。選択したFQDNを使用してURLを編集します。
以下のように automator edit コマンドを実行します。これによりURLとスキルが設定されます (team、 team_for_user、device)。
続いてキーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターへ渡されます。
新しい設定でオートメーターを初期化します。
オートメーターサービスを有効にします。
この時点で設定は完了です。
自動ヘルスチェックには、以下のURLを使用できます。
https://<server>/health
以下は、curlコマンドの例です。
ログのモニタリング
Docker Composeコマンドを使用してオートメーターログをモニターできます。
AD FSを使用した環境の場合
IDプロバイダとしてAD FSを使用してKeeperオートメーターを有効にする場合、以下の手順に従ってKeeper証明書を更新するまでログインできません。
Keeper管理コンソールへログインします。
[管理者] > SSOノード > [プロビジョニング] に移動し、クラウドSSOコネクト設定を確認します。
[SP証明書をエクスポート] をクリックします。
AD FS管理コンソールで、KeeperクラウドSSO証明書利用者信頼プロパティを選択します。
[暗号化] タブで、古い証明書をこの新しい証明書に置き換えます。
[署名] タブで、新しいSP証明書をこの新しい証明書に置き換えます。
ネットワークアクセスの制限
Keeperのサーバーおよび運用担当のワークステーションなど、必要な送信元だけがサービスに届くようネットワークアクセスを制限することを推奨します。許可するIPアドレスの一覧は、イングレス要件をご参照ください。
更新
オートメーターの新しいバージョンが利用可能になったら、コンテナを更新するだけで済みます。
ユーザー体験のテスト
Keeperオートメーターをデプロイしたら、エンドユーザー体験をテストできます。ユーザーがSSOのIDプロバイダーで認証したあとは、承認を求めるプロンプトは表示されません。
最も簡単なテスト方法は、ブラウザのシークレットウィンドウからKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認を求めるプロンプトは表示されません。
最終更新