コネクションに資格情報アセットを使用する

コネクションの作成時に資格情報を直接入力する代わりに、外部コンテナーにリンクされている Orchestrator 資格情報アセットを参照できます。Integration Service は実行時に Orchestrator を介して資格情報を解決します。Integration Service のデータベースに格納されることはありません。

この機能は、一元化された資格情報管理の要件がある組織や、厳格なセキュリティとコンプライアンス ポリシーを持つ組織向けに設計されています。

動作のしくみ

コネクションで資格情報アセットを使用する場合、Integration Service は Orchestrator 資格情報アセットを呼び出し、次に、リンクされた外部コンテナーからシークレットを取得します。解決された値は 1 時間メモリにキャッシュ (暗号化) され、Vault API 呼び出しの繰り返しが減ります。

キャッシュの有効期限が切れる前に資格情報が無効になった場合 (たとえば、資格情報がローテーションされたため)、Integration Service は自動的にコンテナーから新しい値を取得し、失敗したステップをリトライします。Integration Service と Orchestrator または外部コンテナーとの間のすべての通信は、HTTPS/TLS を使用して暗号化されます。

注:

この機能は、接続画面のシークレットの種類のフィールド (パスワード、API キー、クライアント シークレットなど) に適用されます。OAuth 2.0 のアクセス トークンと更新トークンは、最初の認可フロー後も Integration Service に保存されます。これは、OAuth プロトコルの認証に必要なクライアント シークレット以上のものがあるためです。BYOA (独自の OAuth 2.0 アプリ (BYOA) 認証の種類の [クライアント シークレット] フィールドには資格情報アセットを使用できますが、生成される OAuth トークンには使用できません。

前提条件

• Integration Service はテナントに対して有効化され、プロビジョニングされている。
• Orchestrator で少なくとも 1 つの 資格情報ストア が構成されている。サポートされている外部コンテナーには、CyberArk、HashiCorp Vault、および Orchestrator の資格情報ストア連携でサポートされるその他すべてのコンテナーが含まれます。
• Credential 型の資格情報アセットが、Vault シークレットを参照する Orchestrator フォルダーに存在します。Text、Integer、Boolean 型のアセットはサポートされていません。

手順 1: Orchestrator で資格情報ストアを設定する

外部コンテナーに接続する資格情報ストアを Orchestrator に設定します。

手順については、『Orchestrator ガイド』の「 資格情報ストアについて 」をご覧ください。

手順 2: Orchestrator で資格情報アセットを作成する

Orchestrator フォルダーで、 種類が Credential のアセットを作成し、資格情報ストアのシークレットにリンクします。

手順については、『Orchestrator ガイド』の「 Orchestrator でアセットを管理する 」をご覧ください。

手順 3: コネクションの作成時に資格情報アセットを参照する

1. Orchestrator でフォルダーを選択して [ コネクション ] タブに移動します。

2. [ コネクションを追加 ] を選択して、コネクタを選択します。

3. コネクション作成ページで、シークレットの種類のフィールド ( [パスワード]、[ API キー]、[ クライアント シークレット] など) を見つけます。

4. フィールドの横にあるメニュー アイコンを選択し、[ 資格情報アセットを使用] を選択します。

   

5. 使用する資格情報アセットを選択します。アクセス権を持っている任意の Orchestrator フォルダーからアセットを選択できます。

6. 残りのフィールドに入力し、[ 接続] を選択します。

よくある質問

資格情報は要求のたびにコンテナーから取得されますか?

いいえ。資格情報は 1 時間メモリにキャッシュ (暗号化) されます。これにより、Vault API 呼び出しの繰り返しが減り、実行時の効率が向上します。キャッシュ期間は設定できません。

キャッシュの有効期限が切れる前に資格情報をローテーションするとどうなりますか?

キャッシュされた資格情報が無効になったために要求が失敗した場合、Integration Service は自動的にコンテナーから新しい値をフェッチし、失敗したステップをリトライします。

資格情報は Integration Service に保存されますか?

いいえ。資格情報は Integration Service のデータベースに書き込まれません。これらは、1 時間のキャッシュ期間のみ、暗号化された状態でメモリに保持されます。

これはすべてのコネクタで機能しますか?

はい。この機能は、すべてのコネクタで機能します。接続フォームにシークレットの種類の入力フィールド ( API キー、 パスワード、 クライアント シークレットなど) があるコネクタは、認証の種類に関係なく、資格情報アセットの参照をサポートします。

これはコネクション フォームのすべてのフィールドに適用されますか?

現時点では、Secret 型のフィールド (パスワード、API キー、クライアント シークレットなど) のみがサポートされています。追加のフィールドの種類のサポートが予定されています。

どの種類の Orchestrator アセットがサポートされていますか?

Credential アセットのみがサポートされています。テキスト、ブール、整数のアセットは使用できません。

どの外部コンテナーがサポートされていますか?

Orchestrator でサポートされているすべての種類の資格情報ストアがサポートされています。完全なリストについては、「 資格情報ストアについて」をご覧ください。

プロキシはサポートされていますか?

はい。接続状態のプロキシ構成と非接続のプロキシ構成の両方がサポートされています。

OAuth トークンに資格情報アセットを使用できますか?

いいえ。OAuth 2.0 のアクセス トークンと更新トークンは、最初の承認フローの後、常に Integration Service に保存されます。資格情報アセットを参照できるのは、接続画面の [シークレット] タイプの入力フィールド (BYOA 認証の [クライアント シークレット ] など) のみです。