LinuxベースのDocker

シンプルなDocker環境へのKeeperオートメーターのデプロイ方法

LinuxベースのDocker

本ページでは、Dockerを実行できるLinuxインスタンスにKeeperオートメーターを公開する手順を取り扱います。

SSL証明書がすでに用意できていることをご確認ください。用意できていない場合は、SSL証明書作成のページの手順をご参照ください。SSL証明書の秘密鍵および .pfx ファイルはKeeperボルトに保存してください。

セットアップ

Dockerをインストール

Dockerをインストールしていない場合は、ご利用のプラットフォームの手順に従ってセットアップします。たとえば、yumパッケージインストーラーを使用する場合は、以下のようになります。

sudo yum install docker

Dockerサービスが実行されていない場合は、Dockerサービスを開始します。

sudo service docker start

続いて、サービスが自動的に開始するように設定します。

sudo systemctl enable docker.service

root以外のユーザーにDockerの実行を許可するには (セキュリティ要件を満たしている場合)、以下のコマンドを実行します。

sudo chmod 666 /var/run/docker.sock

オートメーターイメージを取得

docker pull コマンドを使用して、最新のKeeperオートメーターイメージを取得します。

docker pull keeper/automator

サービスを開始

以下のコマンドでサービスを開始します。以下の例では、ポート443をリッスンしています。

docker run -d -p443:443/tcp \
  --name "Keeper-Automator" \
 --restart on-failure:3 \
 keeper/automator

証明書を更新

Dockerコンテナ内に config フォルダを作成します。

docker exec -it Keeper-Automator mkdir /usr/mybin/config

SSL証明書作成のページで作成した ssl-certificate.pfx ファイルをコンテナにコピーします。

docker cp ssl-certificate.pfx \
  Keeper-Automator:/usr/mybin/config/ssl-certificate.pfx

.pfx ファイルがパスフレーズで保護されている場合は、ssl-certificate-password.txt という名前のファイルを作成します。

echo "my_pfx_password..." > ssl-certificate-password.txt

そのファイルをDockerコンテナに配置します。

docker cp ssl-certificate-password.txt \
  Keeper-Automator:/usr/mybin/config/ssl-certificate-password.txt

コンテナ内の keeper.properties ファイルで、ssl_mode パラメータが certificate に設定されていることを確認してください。

docker exec -it Keeper-Automator sed -i 's/^ssl_mode=.*/ssl_mode=certificate/' settings/keeper.properties

SSL証明書を使用してコンテナを再起動

証明書をインストールしたら、Dockerコンテナを再起動します。

docker restart "Keeper-Automator"

Keeperコマンダーをインストール

この時点でサービスは実行中ですが、Keeperとはまだ通信できない状態です。

ご利用のワークステーション、サーバー、コンピュータなどにKeeperコマンダーCLIをインストールします。バイナリインストーラーを含むインストール手順についてはこちらのページをご参照ください。コマンダーをインストールした後、keeper shell と入力してセッションを開き、login コマンドを使用してログインできます。オートメーターを設定するには、Keeper管理者、またはSSOノードを管理できる管理者としてログインする必要があります。

$ keeper shell

My Vault> login admin@company.com
.
.
My Vault>

コマンダーで初期化

Keeperコマンダーにログインし、automator create で始まる一連のコマンドを使用してオートメーターを有効化します。

My Vault> automator create --name="My Automator" --node="Azure Cloud"

ノード名 (この場合は「Azure Cloud」) は、以下に示すように管理コンソールのUIに表示されます。

コマンドの出力には、IDプロバイダから取得したメタデータを含むオートメーターの設定が表示されます。

                    Automator ID:1477468749950
                            Name:My Automator
                             URL:
                         Enabled:No
                     Initialized:No
                          Skills:Device Approval

URLはまだ設定されていません。これはKeeperバックエンドが通信するパブリックURLです (例: automator.mycompany.com)。

以下のように automator edit コマンドを実行します。これによりURLとスキルが設定されます (team、 team_for_user、device)。

automator edit --url https://<application URL> --skill=team --skill=team_for_user --skill=device "My Automator"

続いてキーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターへ渡されます。

automator setup "My Automator"

新しい設定でオートメーターを初期化します。

automator init "My Automator"

オートメーターサービスを有効にします。

automator enable "My Automator"

この時点で設定は完了です。

自動ヘルスチェックには、以下のURLを使用できます。

https://<server>/health

以下は、curlコマンドの例です。

$ curl https://automator.lurey.com/health
OK

AD FSを使用した環境の場合

IDプロバイダとしてAD FSを使用してKeeperオートメーターを有効にする場合、以下の手順に従ってKeeper証明書を更新するまでログインできません。

Keeper管理コンソールへログインします。
[管理者] > SSOノード > [プロビジョニング] に移動し、クラウドSSOコネクト設定を確認します。
[SP証明書をエクスポート] をクリックします。
AD FS管理コンソールで、KeeperクラウドSSO証明書利用者信頼プロパティを選択します。
[暗号化] タブで、古い証明書をこの新しい証明書に置き換えます。
[署名] タブで、新しいSP証明書をこの新しい証明書に置き換えます。

ネットワークアクセスの制限

Keeperオートメーターサービスは、インバウンドトラフィックの送信元をKeeperのインフラストラクチャのみに限定するため、インバウンドファイアウォールルールを設定して導入する必要があります。

Keeperのサーバーおよび運用担当のワークステーションなど、必要な送信元だけがサービスに届くようネットワークアクセスを制限する必要があります。許可するIPアドレスの一覧は、インバウンド要件をご参照ください。

ユーザー体験のテスト

Keeperオートメーターをデプロイしたら、エンドユーザー体験をテストできます。ユーザーがSSOのIDプロバイダーで認証したあとは、承認を求めるプロンプトは表示されません。

最も簡単なテスト方法は、ブラウザのシークレットウィンドウからKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認を求めるプロンプトは表示されません。

サービスの再起動

Keeperオートメーターサービスを停止/開始する場合、Dockerサービスは自動的に状態を保持します。

docker restart "Keeper-Automator"

コンテナの更新

Keeperオートメーターの新しいバージョンが利用可能になったら、上記の手順2〜7を繰り返すことでオートメーターサービスを更新できます。以下は、その例です。

docker pull keeper/automator
docker stop Keeper-Automator
docker rm Keeper-Automator

docker run -d -p443:443/tcp \
  --name "Keeper-Automator" \
 --restart on-failure:3 \
 keeper/automator

docker exec -it Keeper-Automator mkdir /usr/mybin/config

docker cp ssl-certificate.pfx \
  Keeper-Automator:/usr/mybin/config/ssl-certificate.pfx

docker cp ssl-certificate-password.txt \
 Keeper-Automator:/usr/mybin/config/ssl-certificate-password.txt

docker exec -it Keeper-Automator \
  sed -i 's/^ssl_mode=.*/ssl_mode=certificate/' settings/keeper.properties
  
docker restart "Keeper-Automator"

続いて、Keeperコマンダーのコマンドを実行します。

automator setup "My Automator"
automator init "My Automator"
automator enable "My Automator"

トラブルシューティング

サービスが始まらない

Keeperオートメーターのログを確認してください。通常これで問題がわかります。Docker環境では、以下のコマンドを使用してログファイルを追跡できます。

docker logs -f "Keeper-Automator"

以下のコマンドを使用して、コンテナに接続してログファイルを確認できます。

docker exec -it "Keeper-Automator" /bin/sh

前へLinuxベースのJava

次へDocker Compose

最終更新 24 日前