テナントごとに暗号化キーを設定する

Azure Key Vault を使用して、Automation Suite 内の Orchestrator でテナントごとの暗号化を設定し、認証およびクラスター構成マップの変更のためにアプリケーションの登録を行う。

Microsoft Azure Key Vault を使用して、Orchestrator インスタンス内のテナントをそれぞれ一意のキーで暗号化できます。Orchestrator は、この Key Vault を使用して、キーを安全に格納して管理します。これにより、テナント間でデータをより適切に分離できます。

この機能は Automation Suite にインストールした Orchestrator で利用できますが、Orchestrator アプリをインターネットと Azure Key Vault に接続する必要があります。

概要

アプリ登録を介して Azure Key Vault を使用するには、Orchestrator 認証が必要です。アプリ登録によって、アプリケーションに一連の権限を付与できます。この場合、Orchestrator がアプリケーションで、Azure Key Vault が対象となる権限です。

まず、Azure Key Vault へのアプリの登録アクセスを設定する必要があります。アプリの登録による Orchestrator の認証は、証明書の SSL 秘密キーと、アプリの登録にアップロードされた SSL 公開キーを使用して行うことができます。アプリの登録と Key Vault を設定したら、Automation Suite クラスターで使用されている構成マップ orchestrator-customconfig いくつかの変更を加え、ArgoCD UI から Orchestrator アプリに関連する ArgoCD パラメーターを変更する必要があります。これらの条件を満たすと、Orchestrator は Azure Key Vault を使用して各テナントを暗号化できます。

前提条件

• 独自の Microsoft Azure Key Vault
• Automation Suite への Orchestrator のクリーン インストール
• 有効な SSL 証明書:
  • 秘密キー証明書 — [App Service] > [SSL の設定] > [秘密キー証明書] にアップロードする必要があります。
  • 公開キー証明書 — [アプリ登録] > [設定] > [キー] > [公開鍵] にアップロードする必要があります。
• (任意) 自己署名証明書

.pfx 証明書ファイルを Base64 に変換するには、次のコマンドを実行します。

• PowerShell: [convert]::ToBase64String((Get-Content -path "path_to_certificate" -Encoding byte))
• Shell: base64 [_path_to_certificate_]
  注:

  Azure Key Vault サイドで、ユーザーが暗号化キーを編集することはできません (シークレットを有効/無効化する、アクティブ化した日、有効期限日など)。シークレットが無効化されていると、該当するテナントで Orchestrator が格納したデータは暗号化されません。

アプリの登録手順

Azure Portal の [アプリの登録] ペインで、以下の手順を実行します。

1. 新しいアプリの登録を作成します。
2. 後で使用するためにアプリケーション (クライアント) ID をコピーします。
3. [管理] > [証明書とシークレット] に移動し、前提条件に記載されている公開 SSL 証明書キーをアップロードします。

Azure Key Vault の手順

注:

Azure Key Vault が Azure Government でホストされている場合、Orchestrator で使用される Azure オーソリティ ホストを設定する必要があります。Orchestrator v2024.10.11 のリリースより、Orchestrator の高度な設定を使用して機関ホストを設定します。

{
  "orchestrator": {
    "advanced_configuration": {
      "azureKeyVault": {
        "authorityHost": "https://login.microsoftonline.us"
      }
    }
  }
}

Azure Key Vault で、次の操作を行います。

1. [キー コンテナー] の [概要] ページにアクセスし、後で使用するために DNS 名をコピーします。

2. [キー コンテナー] ページに移動し、[設定] > [アクセス ポリシー] を選択します。

3. [ アクセス ポリシーの追加] を選択します。

4. [テンプレートからの構成 (省略可能)] ドロップダウン メニューから、[キー、シークレット、および証明書の管理] を選択します。

5. [認可されたアプリケーション] セクションで [なし] を選択して、[プリンシパルを選択] フィールドを有効化します。

6. アプリ登録名を入力し、アプリケーション ID が正しいことを確認して、このプリンシパルを選択します。

7. [追加] を選択します。

   

Orchestrator のカスタム構成手順

Orchestrator に以下の構成変更を加えます。

1. Orchestrator インスタンス用の Azure Key Vault を ArgoCD UI パラメーターから構成します。

   1. a証明書の Base64 形式をコピーし、それを encryptionKeyPerTenant.certificateBase64 パラメーターの値として指定します。
   2. 証明書のパスワード (存在する場合) をコピーし、それを encryptionKeyPerTenant.certificatePassword パラメーターの値として指定します。
   3. [アプリの登録] ページから入力アプリケーション (クライアント) ID をコピーし、encryptionKeyPerTenant.clientId パラメーターの値として指定します。
   4. [アプリの登録] ページから組織のディレクトリ (テナント) ID をコピーし、encryptionKeyPerTenant.directoryId パラメーターの値として指定します。
   5. [キー コンテナー] の [概要] ページから DNS 名をコピーし、encryptionKeyPerTenant.vaultAddress パラメーターの値として指定します。
   

2. 次のように orchestrator-customconfig 構成マップの AppSettings セクションを更新して、テナントごとの暗号化キー機能を有効化します。

   1. EncryptionKeyPerTenant.Enabled を true に設定します。
   2. EncryptionKeyPerTenant.KeyProvider を AzureKeyVault に設定します。

   これは を使用して実行できます。または、レンズを使用して構成マップを更新します。

3. 変更を反映するために、クラスターから Orchestrator Automation Suite のデプロイを再実行します。

   注:

   スタンドアロンの Orchestrator から Automation Suite に移行する場合、Identity Server の SMTP 設定はテナントごとのキーで暗号化されません。移行が完了したら、Automation Suite ポータルで必ず SMTP パスワードを再入力してください。