Google Cloud (GCP Cloud Run)

Cloud Runを使用してGoogle Cloud上でKeeperオートメーターサービスを実行

概要

本ページでは、GCP Cloud Runサービスを使用してGoogle Cloud上でKeeperオートメーターサービスを実行する手順を取り扱います。オートメーターは、KeeperのインフラストラクチャIPへのアクセスを制限するために、Google Armorサービスによっても保護されています。

1. プロジェクトを作成

Google Cloudコンソール (https://console.cloud.google.com) から新しいプロジェクトを作成します。

新しいプロジェクトを作成

続いて、この新しいプロジェクトで [プロジェクトを選択] をクリックします。

2. クラウドシェルを起動

本ページでは、ウェブインターフェースからGoogle Cloud Shellを使用します。クリックしてCloud Shellを有効にするか、ローカルマシンにインストールしてください。

Google Cloud Shellを起動

• Project IDをメモしておきます。この場合は keeper-automator-439714 です。このProject IDは後続のコマンドで使用されます。

3. 請求先アカウントをリンク

まだお済みでない場合は、有効な請求先アカウントをプロジェクトにリンクする必要があります。これは、Google Cloudユーザーインターフェースの [お支払い] メニューから実行します。

4. オートメーターConfigキーを作成

Cloud Shellから、URLエンコード形式で256ビットのAESキーを生成します。

openssl rand -base64 32

以下は、キーの例です。

6C45ibUhoYqkTD4XNFqoZoZmslvklwyjQO4ZqLdUECs=

生成したキーをKeeperに保存します。これは、コンテナをデプロイするときに環境変数として使用されます。このキーにより、起動時に一時的なコンテナが構成されます。

5. Artifact Registryを有効化

gcloud services enable run.googleapis.com artifactregistry.googleapis.com

6. リージョンを選択

サービスを実行するには、リージョンを選択する必要があります。使用可能なリージョンコードは、以下のコマンドで確認できます。

gcloud run regions list

この例では、us-east1 を使用します。

7. オートメーターサービス用のArtifact Registryを作成

以下の2つのコマンドを実行し、us-east1 を手順6の値に置き換えます。

gcloud artifacts repositories create keeper-automator-repo \
    --repository-format=docker \
    --location=us-east1 \
    --description="Artifact registry for Keeper Automator service"

gcloud auth configure-docker us-east1-docker.pkg.dev

8. オートメーターコンテナをArtifact Registryにアップロード

以下の内容を含む cloudbuild.yaml というファイルを作成し、文字列 us-east1 を手順6のリージョンに置き換えます。その他の内容はすべてそのままにします。

cloudbuild.yaml

steps:
  - name: 'gcr.io/cloud-builders/docker'
    args: ['pull', 'keeper/automator:latest']
  - name: 'gcr.io/cloud-builders/docker'
    args: [
      'tag',
      'keeper/automator:latest',  
      'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest'
    ]
  - name: 'gcr.io/cloud-builders/docker'
    args: [
      'push',
      'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest'
    ]
images:
  - 'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest'

• us-east1 を手順6のリージョンに置き換えます

このファイルをCloud Shellユーザーインターフェースからアップロードするか、Cloud Shellでテキストファイルを作成します。

Cloud Shellから、以下を実行します。

gcloud services enable cloudbuild.googleapis.com

続いてビルドを実行します。

gcloud builds submit --config cloudbuild.yaml

これにより、最新のオートメーターコンテナがGoogle Artifact Registryに同期されます。

9. オートメーターサービスをデプロイ

以下のコマンドで、Artifact RegistryからKeeperオートメーターサービスをGoogle Cloud Runにデプロイします。このサービスは、内部アクセスとロードバランサのみに制限されています。

gcloud run deploy keeper-automator \
    --image us-east1-docker.pkg.dev/[PROJECT ID]/keeper-automator-repo/keeper-automator:latest \
    --platform managed \
    --region us-east1 \
    --allow-unauthenticated \
    --ingress internal-and-cloud-load-balancing \
    --min-instances 1 \
    --max-instances 2 \
    --set-env-vars "AUTOMATOR_CONFIG_KEY=XXX,AUTOMATOR_PORT=8080,DISABLE_SNI_CHECK=true,SSL_MODE=none"

以下の点にご注意ください。

• [PROJECT_ID] は手順2のProject IDに置き換えます
• XXX は手順4で作成した構成キーに置き換えます
• AUTOMATOR_PORT はコンテナにポート8080をリッスンするように指定します
• SSL_MODE により、SSL接続をロードバランサで終了できます
• DISABLE_SNI_CHECK により、ロードバランサーの背後でリクエストを完了できます
• インスタンスの最小数は1で、これはほとんどの環境で許容されます
• 最小/最大が設定されていない場合、サービスはインスタンスをゼロに減らし、最初のリクエストで起動します

10. マネージド証明書を作成

Keeperシステムは、パブリックにルーティング可能なDNS名を介してオートメーターサービスと通信します。この例では、gcpautomator.lurey.com を使用しています。設定するには、まずマネージドSSL証明書を作成する必要があります。以下は、そのコマンドです。

gcloud compute ssl-certificates create automator-compute-certificate \
    --domains gcpautomator.lurey.com \
    --global

• gcpautomator.lurey.com を任意の名前に置き換えてください

11. サーバーレスネットワークエンドポイントグループを作成

以下のコマンドで、Cloud RunサービスをGoogle Cloud Load Balancerにリンクします。

gcloud compute network-endpoint-groups create keeper-automator-neg \
    --region us-east1 \
    --network-endpoint-type=serverless \
    --cloud-run-service keeper-automator

• us-east1 を手順6のCloud Runサービスのリージョンに置き換えます

12. NEGを使用するバックエンドサービスを作成

Cloud Runサービスにリンクするバックエンドサービスが作成されます。

gcloud compute backend-services create keeper-automator-backend \
    --global \
    --protocol HTTP

13. バックエンドサービスにNEGをアタッチ

NEGがバックエンドサービスに接続されます。

gcloud compute backend-services add-backend keeper-automator-backend \
    --global \
    --network-endpoint-group keeper-automator-neg \
    --network-endpoint-group-region us-east1

• us-east1 を手順6で指定したリージョンに置き換えます

14. 受信トラフィックをバックエンドサービスに誘導するURLマップを作成

gcloud compute url-maps create keeper-automator-url-map \
    --default-service keeper-automator-backend

15. HTTPSターゲットプロキシを作成し、オートメーター証明書をマップ

gcloud compute target-https-proxies create keeper-automator-target-proxy \
    --url-map keeper-automator-url-map \
    --ssl-certificates automator-compute-certificate

16. 静的IPアドレスを予約し、DNSエントリを割り当て

gcloud compute addresses create keeper-automator-ip --global

IPアドレスを取得して、後で使用するためにメモしておきます。

gcloud compute addresses list

IPアドレスは有効なDNSにマッピングする必要があります。

DNSプロバイダで、IPを指すAレコードを設定します。

Aレコード構成の例

タイプ	名前	値	TTL
A	gcpautomator.lurey.com	xx.xx.xx.xx	60

• この手順は重要です。目的のドメイン名が指定されたIPアドレスを指していることを確認してください。この手順はDNSプロバイダで直接実行する必要があります。

17. グローバル転送ルールを作成

受信リクエストをターゲットプロキシに転送するグローバル転送ルールを作成します。

gcloud compute forwarding-rules create keeper-automator-forwarding-rule \
    --global \
    --target-https-proxy keeper-automator-target-proxy \
    --ports 443 \
    --address keeper-automator-ip

18. 特定のIPへのアクセスを制限

Keeperオートメーターサービスは、インバウンドトラフィックの送信元をKeeperのインフラストラクチャのみに限定するため、インバウンドファイアウォールルールを設定して導入する必要があります。

Keeperオートメーターサービスは、インバウンド要件のページに記載のとおり、必要なIPのみに制限する必要があります。

特定のIPアドレスへのアクセスを制限するCloud Armorセキュリティポリシーを作成します。

gcloud compute security-policies create allow-specific-ips-policy --description "Allow specific IPs"

この手順では、インバウンド要件のページに記載のKeeper米国データセンターのIPを接続します。必要に応じて追加のルールを作成してください。

gcloud compute security-policies rules create 1000 \
    --security-policy allow-specific-ips-policy \
    --src-ip-ranges 54.208.20.102,34.203.159.189 \
    --action allow

• オートメーターサービスをテストできるように、外部IPをこのリストに追加することをお勧めします

他のトラフィックを制限するために、デフォルトの「拒否」ルールも追加します。

gcloud compute security-policies rules create 2000 \
    --security-policy allow-specific-ips-policy \
    --action deny-404 \
    --src-ip-ranges '*'

最後に、Cloud Armorセキュリティポリシーをバックエンドサービスにアタッチします。

gcloud compute backend-services update keeper-automator-backend \
    --global \
    --security-policy allow-specific-ips-policy

この時点で、オートメーターサービスが実行され、サービスはKeeperインフラストラクチャにのみ公開されます。

続いて、Keeperコマンダーのユーティリティを使用して構成を完了します。

19. Keeperコマンダーにログイン

オートメーター設定の最終手順を実行するには、Keeperコマンダーが必要です。コマンダーはどこからでも実行でき、サーバーにインストールする必要はありません。

ワークステーションまたはサーバーにKeeperコマンダーCLIをインストールします。バイナリインストーラーを含むインストール手順については、こちらのページをご参照ください。

コマンダーをインストールした後、Keeperコマンダーを起動するか、既存のターミナルから keeper shell と入力してセッションを開き、login コマンドを使用してログインします。オートメーターを設定するには、Keeper管理者かSSOノードを管理する権限を持つ管理者としてログインする必要があります。

$ keeper shell

My Vault> login [e-mail]

  _  __  
 | |/ /___ ___ _ __  ___ _ _ 
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
 v16.x.xxx    |_|

 password manager & digital vault

Logging in to Keeper Commander
Enter password for [e-mail]
Password: ******************
Successfully authenticated with Master Password
Syncing...
Decrypted [58] record(s)

My Vault>

20. オートメーターを作成

automator create で始まる一連のコマンドを使用してオートメーターを作成します。

My Vault> automator create --name "My Automator" --node "Azure Cloud"

ノード名 (この場合は「Azure Cloud」) は、以下に示すように管理コンソールから取得します。

オートメーターの作成

コマンドの出力には、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。

                    Automator ID: XXXX
                            Name: My Automator
                             URL: 
                         Enabled: No
                     Initialized: No
                          Skills: Device Approval

「URL」はまだ入力されていません。ここにオートメーターURLが設定されます。

以下のように automator edit コマンドを実行します。これにより、URLが設定され、スキル (team、 team_for_user、device) も設定されます。

automator edit --url https://gcpautomator.lurey.com --skill=team --skill=team_for_user --skill=device "My Automator"

続いて、キーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターへ渡されます。

automator setup "My Automator"

新しい設定でオートメーターを初期化します。

automator init "My Automator"

サービスを有効にします。

automator enable "My Automator"

ユーザー体験のテスト

Keeperオートメーターをデプロイしたら、エンドユーザー体験をテストできます。ユーザーがSSOのIDプロバイダーで認証したあとは、承認を求めるプロンプトは表示されません。

最も簡単なテスト方法は、ブラウザのシークレットウィンドウからKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認を求めるプロンプトは表示されません。

---

コンテナの更新

Keeperから新しいバージョンが利用可能になったら、Googleのコンテナを更新するには、以下の手順を実行します。

• 手順8を繰り返します
• 手順9を繰り返します

ヘルプが必要な場合

ヘルプが必要な場合は、[e-mail]までメールでお問い合わせいただくか、サポートチケットを提出してください。