> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/sso-connect-cloud/jp/device-approvals/automator/google-cloud-with-gcp-cloud-run.md). # Google Cloud (GCP Cloud Run)

## 概要本ページでは、GCP Cloud Runサービスを使用してGoogle Cloud上でKeeperオートメーターサービスを実行する手順を取り扱います。オートメーターは、KeeperのインフラストラクチャIPへのアクセスを制限するために、Google Armorサービスによっても保護されています。 ### 1. プロジェクトを作成 Google Cloudコンソール () から新しいプロジェクトを作成します。

続いて、この新しいプロジェクトで **\[プロジェクトを選択]** をクリックします。 ### 2. クラウドシェルを起動本ページでは、ウェブインターフェースからGoogle Cloud Shellを使用します。クリックしてCloud Shellを有効にするか、ローカルマシンにインストールしてください。

* **Project ID**をメモしておきます。この場合は `keeper-automator-439714` です。このProject IDは後続のコマンドで使用されます。 ### 3. 請求先アカウントをリンクまだお済みでない場合は、有効な請求先アカウントをプロジェクトにリンクする必要があります。これは、Google Cloudユーザーインターフェースの **\[お支払い]** メニューから実行します。 ### 4. オートメーターConfigキーを作成 Cloud Shellから、URLエンコード形式で256ビットのAESキーを生成します。 ``` openssl rand -base64 32 ``` 以下は、キーの例です。 `6C45ibUhoYqkTD4XNFqoZoZmslvklwyjQO4ZqLdUECs=` 生成したキーをKeeperに保存します。これは、コンテナをデプロイするときに環境変数として使用されます。このキーにより、起動時に一時的なコンテナが構成されます。 ### 5. Artifact Registryを有効化 ``` gcloud services enable run.googleapis.com artifactregistry.googleapis.com ``` ### 6. リージョンを選択サービスを実行するには、リージョンを選択する必要があります。使用可能なリージョンコードは、以下のコマンドで確認できます。 ``` gcloud run regions list ``` この例では、`us-east1` を使用します。 ### 7. オートメーターサービス用のArtifact Registryを作成以下の2つのコマンドを実行し、`us-east1` を手順6の値に置き換えます。 ``` gcloud artifacts repositories create keeper-automator-repo \ --repository-format=docker \ --location=us-east1 \ --description="Artifact registry for Keeper Automator service" ``` ``` gcloud auth configure-docker us-east1-docker.pkg.dev ``` ### 8. オートメーターコンテナをArtifact Registryにアップロード以下の内容を含む `cloudbuild.yaml` というファイルを作成し、文字列 `us-east1` を手順6のリージョンに置き換えます。その他の内容はすべてそのままにします。 {% code title="cloudbuild.yaml" overflow="wrap" %} ```yaml steps: - name: 'gcr.io/cloud-builders/docker' args: ['pull', 'keeper/automator:latest'] - name: 'gcr.io/cloud-builders/docker' args: [ 'tag', 'keeper/automator:latest', 'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest' ] - name: 'gcr.io/cloud-builders/docker' args: [ 'push', 'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest' ] images: - 'us-east1-docker.pkg.dev/$PROJECT_ID/keeper-automator-repo/keeper-automator:latest' ``` {% endcode %} * `us-east1` を[手順6](#id-5-select-a-region)のリージョンに置き換えますこのファイルをCloud Shellユーザーインターフェースからアップロードするか、Cloud Shellでテキストファイルを作成します。 Cloud Shellから、以下を実行します。 ``` gcloud services enable cloudbuild.googleapis.com ``` 続いてビルドを実行します。 ``` gcloud builds submit --config cloudbuild.yaml ``` これにより、最新のオートメーターコンテナがGoogle Artifact Registryに同期されます。 ### 9. オートメーターサービスをデプロイ以下のコマンドで、Artifact RegistryからKeeperオートメーターサービスをGoogle Cloud Runにデプロイします。このサービスは、内部アクセスとロードバランサのみに制限されています。 {% code overflow="wrap" %} ``` gcloud run deploy keeper-automator \ --image us-east1-docker.pkg.dev/[PROJECT ID]/keeper-automator-repo/keeper-automator:latest \ --platform managed \ --region us-east1 \ --allow-unauthenticated \ --ingress internal-and-cloud-load-balancing \ --min-instances 1 \ --max-instances 2 \ --set-env-vars "AUTOMATOR_CONFIG_KEY=XXX,AUTOMATOR_PORT=8080,DISABLE_SNI_CHECK=true,SSL_MODE=none" ``` {% endcode %} 以下の点にご注意ください。 * `[PROJECT_ID]` は手順2のProject IDに置き換えます * `XXX` は手順4で作成した構成キーに置き換えます * `AUTOMATOR_PORT` はコンテナにポート8080をリッスンするように指定します * `SSL_MODE` により、SSL接続をロードバランサで終了できます * `DISABLE_SNI_CHECK` により、ロードバランサーの背後でリクエストを完了できます * インスタンスの最小数は1で、これはほとんどの環境で許容されます * 最小/最大が設定されていない場合、サービスはインスタンスをゼロに減らし、最初のリクエストで起動します ### 10. マネージド証明書を作成 Keeperシステムは、パブリックにルーティング可能なDNS名を介してオートメーターサービスと通信します。この例では、`gcpautomator.lurey.com` を使用しています。設定するには、まずマネージドSSL証明書を作成する必要があります。以下は、そのコマンドです。 ``` gcloud compute ssl-certificates create automator-compute-certificate \ --domains gcpautomator.lurey.com \ --global ``` * `gcpautomator.lurey.com` を任意の名前に置き換えてください ### 11. サーバーレスネットワークエンドポイントグループを作成以下のコマンドで、Cloud RunサービスをGoogle Cloud Load Balancerにリンクします。 ```bash gcloud compute network-endpoint-groups create keeper-automator-neg \ --region us-east1 \ --network-endpoint-type=serverless \ --cloud-run-service keeper-automator ``` * `us-east1` を[手順6](#id-5-select-a-region)のCloud Runサービスのリージョンに置き換えます ### 12. NEGを使用するバックエンドサービスを作成 Cloud Runサービスにリンクするバックエンドサービスが作成されます。 ```bash gcloud compute backend-services create keeper-automator-backend \ --global \ --protocol HTTP ``` ### 13. バックエンドサービスにNEGをアタッチ NEGがバックエンドサービスに接続されます。 ```bash gcloud compute backend-services add-backend keeper-automator-backend \ --global \ --network-endpoint-group keeper-automator-neg \ --network-endpoint-group-region us-east1 ``` * `us-east1` を[手順6](#id-5-select-a-region)で指定したリージョンに置き換えます ### 14. 受信トラフィックをバックエンドサービスに誘導するURLマップを作成 ``` gcloud compute url-maps create keeper-automator-url-map \ --default-service keeper-automator-backend ``` ### 15. HTTPSターゲットプロキシを作成し、オートメーター証明書をマップ ``` gcloud compute target-https-proxies create keeper-automator-target-proxy \ --url-map keeper-automator-url-map \ --ssl-certificates automator-compute-certificate ``` ### 16. 静的IPアドレスを予約し、DNSエントリを割り当て ``` gcloud compute addresses create keeper-automator-ip --global ``` IPアドレスを取得して、後で使用するためにメモしておきます。 ``` gcloud compute addresses list ``` IPアドレスは有効なDNSにマッピングする必要があります。 DNSプロバイダで、IPを指すAレコードを設定します。 #### Aレコード構成の例 | タイプ | 名前 | 値 | TTL | | --- | ------------------------ | ------------- | --- | | A | `gcpautomator.lurey.com` | `xx.xx.xx.xx` | 60 | * この手順は重要です。目的のドメイン名が指定されたIPアドレスを指していることを確認してください。この手順はDNSプロバイダで直接実行する必要があります。 ### 17. グローバル転送ルールを作成受信リクエストをターゲットプロキシに転送する**グローバル転送ルール**を作成します。 ``` gcloud compute forwarding-rules create keeper-automator-forwarding-rule \ --global \ --target-https-proxy keeper-automator-target-proxy \ --ports 443 \ --address keeper-automator-ip ``` ### 18. 特定のIPへのアクセスを制限 Keeperオートメーターサービスは、[イングレス要件](/sso-connect-cloud/jp/device-approvals/automator/ingress-requirements.md)のページに記載のとおり、必要なIPのみに制限する必要があります。特定のIPアドレスへのアクセスを制限する**Cloud Armorセキュリティポリシー**を作成します。 {% code overflow="wrap" %} ``` gcloud compute security-policies create allow-specific-ips-policy --description "Allow specific IPs" ``` {% endcode %} この手順では、[イングレス要件](/sso-connect-cloud/jp/device-approvals/automator/ingress-requirements.md)のページに記載のKeeper米国データセンターのIPを接続します。必要に応じて追加のルールを作成してください。 {% code overflow="wrap" %} ``` gcloud compute security-policies rules create 1000 \ --security-policy allow-specific-ips-policy \ --src-ip-ranges 54.208.20.102,34.203.159.189 \ --action allow ``` {% endcode %} * オートメーターサービスをテストできるように、外部IPをこのリストに追加することをお勧めします他のトラフィックを制限するために、デフォルトの「拒否」ルールも追加します。 ``` gcloud compute security-policies rules create 2000 \ --security-policy allow-specific-ips-policy \ --action deny-404 \ --src-ip-ranges '*' ``` 最後に、**Cloud Armorセキュリティポリシー**をバックエンドサービスにアタッチします。 ``` gcloud compute backend-services update keeper-automator-backend \ --global \ --security-policy allow-specific-ips-policy ``` この時点で、オートメーターサービスが実行され、サービスはKeeperインフラストラクチャにのみ公開されます。続いて、Keeperコマンダーのユーティリティを使用して構成を完了します。 ### 19. Keeperコマンダーにログインオートメーター設定の最終手順を実行するには、Keeperコマンダーが必要です。コマンダーはどこからでも実行でき、サーバーにインストールする必要はありません。ワークステーションまたはサーバーにKeeperコマンダーCLIをインストールします。バイナリインストーラーを含むインストール手順については、[こちらのページ](/keeperpam/jp/commander-cli/commander-installation-setup.md)をご参照ください。コマンダーをインストールした後、Keeperコマンダーを起動するか、既存のターミナルから `keeper shell` と入力してセッションを開き、`login` コマンドを使用してログインします。オートメーターを設定するには、Keeper管理者かSSOノードを管理する権限を持つ管理者としてログインする必要があります。 ``` $ keeper shell My Vault> login admin@company.com _ __ | |/ /___ ___ _ __ ___ _ _ | ' ``` ### 20. オートメーターを作成 `automator create` で始まる一連のコマンドを使用してオートメーターを作成します。 ``` My Vault> automator create --name "My Automator" --node "Azure Cloud" ``` ノード名 (この場合は「Azure Cloud」) は、以下に示すように管理コンソールから取得します。

コマンドの出力には、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。 ``` Automator ID: XXXX Name: My Automator URL: Enabled: No Initialized: No Skills: Device Approval ``` 「URL」はまだ入力されていません。ここにオートメーターURLが設定されます。以下のように `automator edit` コマンドを実行します。これにより、URLが設定され、スキル (`team`、 `team_for_user`、`device`) も設定されます。 {% code overflow="wrap" %} ``` automator edit --url https://gcpautomator.lurey.com --skill=team --skill=team_for_user --skill=device "My Automator" ``` {% endcode %} {% hint style="info" icon="pencil-line" %} `gcpautomator.lurey.com` を[手順16](#id-15-reserve-a-static-ip-address-and-assign-dns-entry)で作成したドメイン名に置き換えてください。 {% endhint %} 続いて、キーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターへ渡されます。 ``` automator setup "My Automator" ``` 新しい設定でオートメーターを初期化します。 ``` automator init "My Automator" ``` サービスを有効にします。 ``` automator enable "My Automator" ``` ### ユーザー体験のテスト Keeperオートメーターをデプロイしたら、エンドユーザー体験をテストできます。ユーザーがSSOのIDプロバイダーで認証したあとは、承認を求めるプロンプトは表示されません。最も簡単なテスト方法は、ブラウザのシークレットウィンドウからKeeperウェブボルトを開き、クラウドSSOコネクトでログインすることです。デバイス承認を求めるプロンプトは表示されません。 *** ## コンテナの更新 Keeperから新しいバージョンが利用可能になったら、Googleのコンテナを更新するには、以下の手順を実行します。 * [手順8](#id-7-upload-the-automator-container-to-the-artifact-registry)を繰り返します * [手順9](#id-8-deploy-the-automator-service)を繰り返します ## ヘルプが必要な場合ヘルプが必要な場合は、****までメールでお問い合わせいただくか、[サポートチケット](https://keepersecurity.servicenowservices.com/csm?id=csm_index)を提出してください。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.keeper.io/sso-connect-cloud/jp/device-approvals/automator/google-cloud-with-gcp-cloud-run.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.