Azure Key Vault をシークレットストアとして設定する

サービス プリンシパルの認証方法を使用して、Azure Key Vault をシークレットストアとして設定できます。

既定では、すべての機密データは [input.jsonで定義されています。このデータは、次の 2 つの部分に分けることができます。

• input.json - 構成データのみが含まれます。
• Azure Key Vault - 資格情報を安全に保存します。

注: 証明書のパスや証明書関連の資格情報を secretstore の一部として保存することはできません。

シークレット ストアを設定する前に、すべての資格情報が Azure Key Vault 内にシークレットとして作成されていることを確認してください。

サービス プリンシパル認証を使用する

サービス プリンシパル認証を使用して Azure Key Vault を SecretStore として設定するには、以下の手順を実行します。

1. 資格情報が Azure Key Vault に格納されていることuipathctl識別するには、次の例に示すように、secretstore セクションを input.json に追加する必要があります。

   "secret_store": {
     "enabled": true,
     "provider_configs": [
       {
         "type": "azure",
         "credentials_secret_name": "azure-service-principal-secret",
         "refresh_interval": "5m",
         "name": "azure-secret-store",
         "azure_kv": {
           "vault_url": "https://eso-azure-kv.vault.azure.net/",
           "tenant_id": "d8353d2a-b153-4d17-8827-902c51f72357"
         }
       }
     ]
   }
   

2. 次の例に示すように、Azure サービス プリンシパルの資格情報を格納する Kubernetes シークレットを作成します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: azure-service-principal-secret
   type: Opaque
   stringData:
     clientId: <client-id>
     clientSecret: <client-secret>
   

3. 次のコマンドを使用して、 uipath 名前空間にシークレットをデプロイします。

   kubectl apply -f azure-service-principal-secret -n uipath
   
   

4. 次の形式を使用して、input.jsonの資格情報の値を更新し、 Azure Key Vault に格納されているシークレットを参照します。

   vault/<vault-name>/<key-stored-in-the-vault>

   場所：
   • vault - 静的キーワード。
   • vault-name – secret_store.provider_configs[i].name の値です (例: azure-secret-store)。
   • key-stored-in-the-vault – Azure Key Vault に保存されているシークレットの名前。
   変更前の資格情報は次のようになります。

   "admin_username": "admin",
   "admin_password": "password",
   

   Azure Key Vault を参照するように更新すると、次のようになります。

   "admin_username": "vault/azure-secret-store/admin-username-1234",
   "admin_password": "vault/azure-secret-store/admin-password-1234",
   

   次の図は、Azure Key Vault に格納されているシークレットを示しています。
   

次の例では、Azure Key Vault に格納されている資格情報を使用した input.json 構成を示しています。

{
  "action_center": {
    "enabled": true
  },
  "admin_password": "vault/azure-secret-store/admin-password-1234",
  "admin_username": "vault/azure-secret-store/admin-username-1234",
  "aicenter": {
    "enabled": true
  },
  "apps": {
    "enabled": true
  },
  "argocd": {
    "application_namespace": "uipath",
    "project": "uipath"
  },
  "automation_hub": {
    "enabled": true
  },
  "automation_ops": {
    "enabled": true
  },
  "dataservice": {
    "enabled": true
  },
  "documentunderstanding": {
    "enabled": true
  },
  "exclude_components": [
    "argocd",
    "monitoring",
    "istio",
    "logging",
    "gatekeeper",
    "network-policies",
    "velero",
    "alerts",
    "cert-manager",
    "dapr",
    "external-secrets"
  ],
  "external_object_storage": {
    "access_key": "vault/azure-secret-store/external-object-storage-access-key-1234",
    "enabled": true,
    "fqdn": "s3storage.mycompany.com",
    "port": 443,
    "region": "us-east-2",
    "secret_key": "vault/azure-secret-store/external-object-storage-secret-key-1234",
    "storage_type": "s3"
  },
  "fabric": {
    "redis": {
      "hostname": "redis.mycompany.com",
      "password": "vault/azure-secret-store/fabric-redis-password-1234",
      "port": 6380,
      "tls": true
    }
  },
  "fqdn": "automationsuite.mycompany.com",
  "ingress": {
    "gateway_selector": {
      "istio": "ingressgateway"
    },
    "ingress_gateway_secret": "istio-ingressgateway-certs",
    "namespace": "\u003cistio-system\u003e"
  },
  "insights": {
    "enabled": true
  },
  "istioMinProtocolVersion": "TLSV1_3",
  "kubernetes_distribution": "openshift",
  "namespace": "uipath",
  "orchestrator": {
    "enabled": true
  },
  "platform": {
    "enabled": true
  },
  "postgresql_connection_string_template_sqlalchemy_pyodbc": "vault/azure-secret-store/postgresql-connection-string-template-sqlalchemy-pyodbc-1234",
  "processmining": {
    "enabled": true
  },
  "profile": "default",
  "registries": {
    "docker": {
      "password": "",
      "pull_secret_name": "registry-credentials",
      "pull_secret_value": "",
      "url": "registry.mycompany.com",
      "username": ""
    },
    "helm": {
      "password": "",
      "url": "registry.mycompany.com",
      "username": ""
    }
  },
  "secret_store": {
    "enabled": true,
    "secret_name": "",
    "provider_configs": [
      {
        "type": "azure",
        "credentials_secret_name": "azure-service-principal-secret",
        "refresh_interval": "5m",
        "name": "azure-secret-store",
        "azure_kv": {
          "vault_url": "https://eso-azure-kv.vault.azure.net/",
          "tenant_id": "d8353d2a-b153-4d17-8827-902c51f72357"
        }
      }
    ]
  },
  "sql": {
    "create_db": true,
    "password": "vault/azure-secret-store/sql-password-1234",
    "port": "1433",
    "server_url": "sql.mycompany.com",
    "username": "vault/azure-secret-store/sql-username-1234"
  },
  "sql_connection_string_template": "vault/azure-secret-store/sql-connection-string-template-1234",
  "sql_connection_string_template_jdbc": "vault/azure-secret-store/sql-connection-string-template-jdbc-1234",
  "sql_connection_string_template_odbc": "vault/azure-secret-store/sql-connection-string-template-odbc-1234",
  "sql_connection_string_template_sqlalchemy_pyodbc": "vault/azure-secret-store/sql-connection-string-template-sqlalchemy-pyodbc-1234",
  "storage_class": "managed-premium",
  "storage_class_single_replica": "managed-premium",
  "telemetry_optout": true,
  "test_manager": {
    "enabled": true
  }
}

外部 OCI 準拠プライベート レジストリを設定する

プライベート レジストリを使用する際に、レジストリの資格情報を input.jsonで設定しない場合は、次の例に示すように、代わりに Kubernetes シークレットとして指定できます。

"registries": {
  "docker": {
    "pull_secret_name": "registry-credentials",
    "url": "sfbrdevhelmweacr.azurecr.io"
  }
}

次の例に示すように、レジストリの資格情報を格納する Kubernetes シークレットを作成します。

apiVersion: v1
kind: Secret
metadata:
  name: registry-credentials
type: Opaque
data:
  url: base64Encode(sfbrdevhelmweacr.azurecr.io)
  username: base64Encode(<registry-username>)
  password: base64Encode(<registry-password>)

次のコマンドを使用して、 uipath 名前空間にシークレットを適用します。

kubectl apply -f registry-credentials.yaml -n uipath