AWS Secrets Manager を SecretStore として設定する

AWS Secrets Manager を OpenShift の Automation Suite で機密性の高い資格情報を管理するための SecretStore として設定します。

AWS Secrets Manager は、アクセスキー (静的認証情報) を使用して SecretStore として設定できます。

注:

Node IAM Role authentication is not supported on OpenShift. For Node IAM Role-based authentication, refer to the EKS/AKS installation guide.

AWS Secrets Manager は、シークレットをキーと値のペアまたはプレーンテキスト文字列として保存します。

デフォルトでは、すべての機密データは input.jsonで定義されます。このデータは、次の 2 つの部分に分けることができます。

• input.json - 構成データのみが含まれます。
• AWS Secrets Manager - 認証情報を安全に保存します。

注:

証明書のパスや証明書関連の資格情報を secretstore の一部として保存することはできません。

アクセス キーを使用する

アクセス キーは、Kubernetes シークレットに格納された明示的な AWS アクセス キー ID とシークレット アクセス キーを使用します。

前提条件

• secretsmanager:GetSecretValue権限を持つ AWS IAM ユーザー
• アクセス キーの資格情報で事前に作成された Kubernetes シークレット

Configuring input.json

アクセス キーを使用して AWS Secrets Manager を SecretStore として設定するには、以下の手順を実行します。

1. AWS の資格情報を格納する Kubernetes シークレットを作成します。

   kubectl create secret generic aws-credentials \
     --namespace uipath \
     --from-literal=access-key-id=AKIAIOSFODNN7EXAMPLE \
     --from-literal=secret-access-key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   

   シークレットには、次の各キーを記述する必要があります。

   • access-key-id - AWS アクセス キー ID
   • secret-access-key - AWS シークレットのアクセス キー

2. 次のセクションを input.jsonに追加します。

   {
     "secret_store": {
       "enabled": true,
       "provider_configs": [
         {
           "name": "aws-prod",
           "type": "aws",
           "credentials_secret_name": "aws-credentials",
           "aws_kv": {
             "region": "us-east-1"
           }
         }
       ]
     }
   }
   

設定フィールド

次の表で、利用可能な設定フィールドについて説明します。

フィールド	Required	説明
aws_kv.region	はい	シークレットを保存する AWS リージョン (例: us-east-1)
credentials_secret_name	はい	access-key-id キーと secret-access-key キーを含む Kubernetes シークレット

input.json でシークレットを参照する

AWS Secrets Manager に保存されている認証情報を参照するには、 input.jsonで次のいずれかの形式を使用します。

• プレーン文字列: vault/aws-prod/secret-name
• JSON プロパティの抽出: vault/aws-prod/secret-name?key=password

AWS GovCloud を使用する

AWS GovCloud を使用している場合は、[ region ] フィールドを AWS GovCloud のリージョン ( us-gov-west-1 や us-gov-east-1など) に設定します。その他の設定変更は不要です。リージョンの値によって、使用する AWS パーティションとエンドポイントが決まります。

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-gov",
        "type": "aws",
        "credentials_secret_name": "aws-credentials",
        "aws_kv": {
          "region": "us-gov-west-1"
        }
      }
    ]
  }
}