テナントごとに暗号化キーを設定する

Microsoft Azure Key Vault を使用して、Orchestrator インスタンス内のテナントをそれぞれ一意のキーで暗号化できます。Orchestrator は、この Key Vault を使用して、キーを安全に格納して管理します。これにより、テナント間でデータをより適切に分離できます。

この機能は Automation Suite にインストールした Orchestrator で利用できますが、Orchestrator アプリをインターネットと Azure Key Vault に接続する必要があります。

概要

アプリ登録を介して Azure Key Vault を使用するには、Orchestrator 認証が必要です。アプリ登録によって、アプリケーションに一連の権限を付与できます。この場合、Orchestrator がアプリケーションで、Azure Key Vault が対象となる権限です。

まず、アプリ登録による Azure Key Vault へのアクセスを設定する必要があります。アプリ登録による Orchestrator の認証は、証明書の SSL 秘密キーと、アプリ登録にアップロードされた SSL 公開キーを使用して実行できます。アプリの登録と Key Vault を設定したら、Automation Suite クラスターで使用される orchestrator-customconfig 構成マップに何らかの変更を加え、Orchestrator アプリの関連する ArgoCD パラメーターを ArgoCD UI から変更する必要があります。これらの条件が満たされたら、Orchestrator で Azure Key Vault を使用して各テナントを暗号化できます。

前提条件

• 独自の Microsoft Azure Key Vault
• Automation Suite への Orchestrator のクリーン インストール

• 有効な SSL 証明書:

  • 秘密キー証明書 — [App Service] > [SSL の設定] > [秘密キー証明書] にアップロードする必要があります。
  • 公開キー証明書 — [アプリ登録] > [設定] > [キー] > [公開鍵] にアップロードする必要があります。
• (任意) 自己署名証明書

.pfx 証明書ファイルを Base64 に変換するには、次のコマンドを実行します。

• PowerShell: [convert]::ToBase64String((Get-Content -path "path_to_certificate" -Encoding byte))
• Shell: base64 [_path_to_certificate_]

注: Azure Key Vault サイドで、ユーザーが暗号化キーを編集することはできません (シークレットを有効/無効化する、アクティブ化した日、有効期限日など)。シークレットが無効化されていると、該当するテナントで Orchestrator が格納したデータは暗号化されません。

アプリの登録手順

Azure Portal の [アプリの登録] ペインで、以下の手順を実行します。

1. 新しいアプリの登録を作成します。
2. 後で使用するためにアプリケーション (クライアント) ID をコピーします。
3. [管理] > [証明書とシークレット] に移動し、前提条件に記載されている公開 SSL 証明書キーをアップロードします。

Azure Key Vault の手順

Azure Key Vault で、次の操作を行います。

1. [キー コンテナー] の [概要] ページにアクセスし、後で使用するために DNS 名をコピーします。
2. [キー コンテナー] ページに移動し、[設定] > [アクセス ポリシー] を選択します。
3. [アクセス ポリシーの追加] をクリックします。
4. [テンプレートからの構成 (省略可能)] ドロップダウン メニューから、[キー、シークレット、および証明書の管理] を選択します。
5. [認可されているアプリケーション] セクションで [選択されていません] をクリックし、[プリンシパルの選択] フィールドを有効化します。
6. アプリ登録名を入力し、アプリケーション ID が正しいことを確認して、このプリンシパルを選択します。
7. [追加] をクリックします。
   
   

   

   
   

Orchestrator のカスタム構成手順

Orchestrator に以下の構成変更を加えます。

1. Orchestrator インスタンス用の Azure Key Vault を ArgoCD UI パラメーターから構成します。
   1. a証明書の Base64 形式をコピーし、それを encryptionKeyPerTenant.certificateBase64 パラメーターの値として指定します。
   2. 証明書のパスワード (存在する場合) をコピーし、それを encryptionKeyPerTenant.certificatePassword パラメーターの値として指定します。
   3. [アプリの登録] ページから 入力したアプリケーション (クライアント) ID をコピーし、それを encryptionKeyPerTenant.clientId パラメーターの値として指定します。
   4. [アプリの登録] ページから組織のディレクトリ (テナント) ID をコピーし、それを encryptionKeyPerTenant.directoryId パラメーターの値として指定します。
      
   5. [キー コンテナー] の [概要] ページから DNS 名をコピーし、それを encryptionKeyPerTenant.vaultAddress パラメーターの値として指定します。
   
   

   

   
   
2. 次のように orchestrator-customconfig 構成マップの AppSettings セクションを更新して、テナントごとの暗号化キー機能を有効化します。
   1. EncryptionKeyPerTenant.Enabled を true に設定します。
   2. EncryptionKeyPerTenant.KeyProvider を AzureKeyVault に設定します。
      これは orchestrator-configurator.sh を使用して実行できます。または、レンズを使用して構成マップを更新します。
3. 変更を反映するために、クラスターから Orchestrator Automation Suite のデプロイを再実行します。

注: スタンドアロンの Orchestrator から Automation Suite に移行する場合、Identity Server の SMTP 設定はテナントごとのキーで暗号化されません。移行が完了したら、Automation Suite ポータルで必ず SMTP パスワードを再入力してください。