Kubernetesサービス

KubernetesサービスとしてKeeperオートメーターをインストール

本ページでは、KeeperオートメーターをKubernetesサービスとして公開する手順を取り扱います。

SSL証明書がすでに用意できていることをご確認ください。用意できていない場合は、SSL証明書作成のページの手順をご参照ください。

1. Kubernetesをセットアップ

Kubernetesのインストールとデプロイは本ページの主題ではありませんが、デモ目的で、プラットフォームに依存しない2つのEC2インスタンス (マスターとワーカー) を使用する非常に基本的な単一ノード環境について記載しています。K8環境がすでに整っている場合は、手順2へお進みください。

Dockerのセットアップ

Kubernetesはコンテナランタイムを必要とするため、Dockerを使用します。

sudo yum update -y
sudo yum install -y docker
sudo systemctl enable docker
sudo systemctl start docker

kubeadm、kubelet、kubectlをインストール

これらのパッケージは、マスターノードとワーカーノードの両方にインストールする必要があります。今回の例ではAWS Amazon Linux 2インスタンスタイプを使用しています。

cat <<EOF | sudo tee /etc/yum.repos.d/kubernetes.repo
[kubernetes]
name=Kubernetes
baseurl=https://pkgs.k8s.io/core:/stable:/v1.28/rpm/
enabled=1
gpgcheck=1
gpgkey=https://pkgs.k8s.io/core:/stable:/v1.28/rpm/repodata/repomd.xml.key
exclude=kubelet kubeadm kubectl cri-tools kubernetes-cni
EOF

sudo setenforce 0
sudo sed -i 's/^SELINUX=enforcing$/SELINUX=permissive/' /etc/selinux/config

sudo yum install -y kubelet kubeadm kubectl --disableexcludes=kubernetes

sudo systemctl enable --now kubelet

マスターノードを初期化

マスターノードとして使用するマシンで、以下を実行します。

sudo kubeadm init --pod-network-cidr=10.244.0.0/16

--pod-network-cidr 引数は、特定のネットワークプロバイダーで必要となります。ポッドに設定するIP範囲を置き換えてください。

kubeadm init が完了すると、ワーカーノードをマスターに参加させるために使用できるコマンドが表示されます。レスポンスと初期化コードをメモして、以下の手順で使用できるようにします。

ローカルのkubeconfigをセットアップします。

mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config

ポッドネットワークをインストール

クラスターが機能する前にポッドネットワークをインストールする必要があります。簡単に flannel を使用できます。

kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

ワーカーノードを参加させる

ワーカーノードとして追加する各マシンで、初期化コードを含む以下のコマンドを実行します。

sudo kubeadm join [your code from kubeadm init command]

セキュリティグループ内のワーカーノードとマスターノードの間でポート6443が開いている必要があります。

ワーカーが参加した後、Kubernetesクラスターが稼働します。マスター上で kubectl get nodes を実行すると、ノードのステータスを確認できます。

2. Kubernetes Secretを作成

AUTOMATOR_CONFIG_KEYの生成

AUTOMATOR_CONFIG_KEY を設定すると、起動時に暗号キーがランダムに生成されるのではなく、その値から導出されます。ポッドを再起動しても同じキーが復元されるため、コマンダーで構成し直さなくても、Keeperクラウドの構成は有効なままです。

256ビットのキーを生成します。

openssl rand -base64 32

出力を保存してください。この値は、以下の手順でKubernetes Secretとして登録します。

Secretの作成

KeeperオートメーターのSSL証明書は、SecretとしてKubernetesサービスに登録します。SSL証明書作成のページで作成したSSL証明書とSSL証明書パスワードを保存するには、以下のコマンドを実行します。

kubectl create secret generic certificate-secret --from-file=ssl-certificate.pfx --from-file=ssl-certificate-password.txt

構成キーは証明書とは別のSecretに格納します。証明書とは独立して管理できます。

kubectl create secret generic automator-config-key --from-literal=AUTOMATOR_CONFIG_KEY='<your-generated-key>'

3. マニフェストを作成

以下は、automator-deployment.yaml として保存できるマニフェストファイルです。デプロイメントリソースとサービスリソースの両方の設定が含まれています。

• デプロイメントリソースはKeeperオートメーターDockerコンテナを実行します
• SSL証明書と証明書パスワードファイルは、マウントされたSecretとして参照されます
• Secretは初期化コンテナ内のポッドにコピーされます
• コンテナには、前の手順で作成したSecretから読み取った AUTOMATOR_CONFIG_KEY を環境変数として渡します
• オートメーターサービスはポート30000でリッスンし、コンテナーのポート443にルーティングします
• 本手順では、単一のコンテナ (replicas: 1) のみをデプロイしてコンテナを設定できるようにします。最後の手順でreplicasの数を増やします

apiVersion: apps/v1
kind: Deployment
metadata:
  name: automator-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: automator
  template:
    metadata:
      labels:
        app: automator
    spec:
      initContainers:
        - name: init-container
          image: busybox
          command: ['sh', '-c', 'cp /secrets/* /usr/mybin/config']
          volumeMounts:
            - name: secret-volume
              mountPath: /secrets
            - name: config-volume
              mountPath: /usr/mybin/config
      containers:
        - name: automator
          image: keeper/automator:latest
          env:
            - name: AUTOMATOR_CONFIG_KEY
              valueFrom:
                secretKeyRef:
                  name: automator-config-key
                  key: AUTOMATOR_CONFIG_KEY
          ports:
            - containerPort: 443
          volumeMounts:
            - name: config-volume
              mountPath: /usr/mybin/config
      volumes:
        - name: config-volume
          emptyDir: {}
        - name: secret-volume
          secret:
            secretName: certificate-secret
            items:
              - key: ssl-certificate.pfx
                path: ssl-certificate.pfx
              - key: ssl-certificate-password.txt
                path: ssl-certificate-password.txt
---
apiVersion: v1
kind: Service
metadata:
  name: automator-service
spec:
  type: NodePort
  ports:
  - port: 443
    targetPort: 443
    protocol: TCP
    nodePort: 30000
  selector:
    app: automator

本例では NodePort サービスを使用しているため、ノードのポート30000にアクセスできる必要があります。クラスターの構成や公開方法に応じて、LoadBalancer サービスやIngressコントローラーを使うこともできます。いずれの場合も、公開するアドレスとポートを、手順6でコマンダーに登録するURLと一致させてください。

4. サービスをデプロイ

kubectl apply -f automator-deployment.yaml

30秒以内にサービスが起動します。

5. サービスステータスを確認

ウェブブラウザでサービスが実行されていることを確認します (テストしている端末からポート30000へアクセスできる必要があります)。 今回の場合、URLはhttps://automator.example.com:30000/api/rest/statusです。

自動ヘルスチェックには、以下のURLも使用できます。

https://<server>/health

以下は、curlコマンドの例です。

$ curl https://automator.example.com:30000/health
OK

単一ポッドのサービスが実行されているので、Keeperコマンダーを使用してオートメーターをご利用の環境に統合します。

6. コマンダーでポッドを設定

ポッドを設定してオートメーター機能を使うには、Keeperコマンダーが必要です。Keeperコマンダーはどこからでも実行できます。

ご利用のワークステーションにKeeperコマンダーCLIをインストールします。バイナリインストーラーを含むインストール手順についてはこちらのページをご参照ください。

コマンダーをインストールした後、keeper shell と入力してセッションを開き、login コマンドを使用してログインできます。オートメーターを設定するには、Keeper管理者またはSSOノードを管理する権限を持つ管理者としてログインする必要があります。

$ keeper shell

My Vault> login [e-mail]

  _  __  
 | |/ /___ ___ _ __  ___ _ _ 
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
 vxx.x.xx     |_|

Logging in to Keeper Commander

SSO user detected. Attempting to authenticate with a master password.
(Note: SSO users can create a Master Password in Web Vault > Settings)

Enter password for [e-mail]
Password: 
Successfully authenticated with Master Password
Syncing...
Decrypted [58] record(s)

My Vault>

Keeperコマンダーにログインし、automator create で始まる一連のコマンドを使用してオートメーターを有効化します。

My Vault> automator create --name="My Automator" --node="Azure Cloud"

ノード名 (この場合は「Azure Cloud」) は、以下に示すように管理コンソールUIから取得します。

オートメーターの作成

コマンドの出力には、IDプロバイダからのメタデータを含むオートメーター設定が表示されます。

                    Automator ID: 1477468749950
                            Name: My Automator
                             URL: 
                         Enabled: No
                     Initialized: No
                          Skills: Device Approval

URLはまだ設定されていません。以下のように automator edit コマンドを実行します。これによりURLとスキルが設定されます (team、 team_for_user、device)。

automator edit --url https://automator.example.com:30000 --skill=team --skill=team_for_user --skill=device "My Automator"

続いてキーを交換します。オートメーター公開キーで暗号化されたエンタープライズ秘密キーがオートメーターへ渡されます。

automator setup "My Automator"

続いて、他のIdPメタデータをオートメーターに送信します。

automator init "My Automator"

オートメーターサービスを有効にします。

automator enable "My Automator"

この時点で設定は完了です。

7. ネットワークアクセスの制限

Keeperオートメーターサービスは、インバウンドトラフィックの送信元をKeeperのインフラストラクチャのみに限定するため、インバウンドファイアウォールルールを設定して導入する必要があります。

Keeperのサーバーからのインバウンドアクセスに限定するよう、ネットワークアクセスを制限する必要があります。許可するIPアドレスの一覧は、インバウンド要件をご参照ください。

8. オートメーターサービスをテスト

単一のポッドでオートメーターサービスが適切に動作していることを確認するには、以下の手順を行います。

• ブラウザのシークレットモードでウィンドウを開きます
• SSOユーザーアカウントを使用してKeeperウェブボルトにログインします
• SSOログインの成功後にデバイスの承認が必要ないことを確認します

9. ポッド設定を更新

この時点では、単一のポッド設定を実行しています。最初のポッドにオートメーターサービスがセットアップされKeeperクラウドに設定されたので、ポッドの数を増やせます。以下のように、YAMLファイル内の replicas ステートメントを実行したいポッドの数に更新します。

replicas: 3

続いて変更を適用します。

kubectl apply -f automator-deployment.yaml

複数のポッドが実行されている場合、コンテナはラウンドロビン方式のセットアップで負荷が分散されます。最初の承認リクエスト時に構成設定がKeeperクラウドからオートメーターポッドへ自動的かつ安全にロードされます。

オートメーターサービスのトラブルシューティング

オートメーターサービスを実行しているログファイルでエラーを監視できます。ポッドのリストを取得するには、以下を実行します。

kubectl get pods

以下のコマンドを使用して、ターミナル経由でオートメーターコンテナに接続します。

kubectl exec -it automator-deployment-<POD> --container automator -- /bin/sh

ログファイルは logs/ フォルダにあります。ターミナルに接続する代わりに、以下のコマンドからコンテナのログファイルを追跡することもできます。

kubectl exec -it automator-deployment-<POD> --container automator -- tail -f /usr/mybin/logs/keeper-automator.log