コネクションに資格情報アセットを使用する

Orchestrator アセットを使用して、実行時に Integration Service でコネクションを作成する際にコネクション フィールドの値を指定します。シークレット フィールドにはコンテナーで動作する Credential アセットを使用し、その他のフィールドの種類には標準アセットを使用します。

コネクションの作成時に値を直接入力する代わりに、Orchestrator のアセットを参照できます。パスワード、API キー、クライアント シークレットなどのシークレット フィールドの場合、Integration Service はリンクされた外部コンテナーから Orchestrator を介して資格情報アセットを解決し、その値を Integration Service のデータベースに保存しません。その他のフィールドでは、値は標準の Orchestrator の Text、 Bool、または Integer アセットから読み取られます。

この機能は、一元的な構成管理要件を持つ組織や、資格情報の取り扱いに関する厳格なセキュリティとコンプライアンス ポリシーを持つ組織向けに設計されています。

動作のしくみ

資格情報アセット (シークレット フィールド)

コネクションで資格情報アセットを使用する場合、Integration Service は Orchestrator を呼び出し、Orchestrator はリンクされている外部コンテナーからシークレットを取得します。解決された値はメモリに (暗号化されて) 1 時間キャッシュされ、Vault API 呼び出しの繰り返しを減らすことができます。

キャッシュの有効期限が切れる前に資格情報が無効になった場合 (たとえば、ローテーションされたなど)、Integration Service はコンテナーから新しい値を自動的に取得し、失敗したステップをリトライします。Integration Service と Orchestrator、または外部コンテナー間のすべての通信は、HTTPS/TLS を使用して暗号化されます。

Text、Bool、Integer アセット (その他のフィールド)

コネクションで Text、Bool、または Integer アセットを使用する場合、Integration Service は Orchestrator から値を読み取ります。外部コンテナーは関与しません。

注:

ピッカーに表示されるアセットの種類は、フィールドによって異なります。[ パスワード]、[ API キー]、[ クライアント シークレット ] などのシークレット フィールドには、 Credential アセットのみが表示されます。サポートされているその他のフィールドには、 Text、 Bool、 Integer アセットが表示されます。ドロップダウン フィールドにはピッカーは表示されません。OAuth 2.0 のアクセス トークンと更新トークンは、最初の認可フローの後も Integration Service に保存されます。OAuth プロトコルでは認証にクライアント シークレット以上のものが必要になるためです。BYOA (Bring your own OAuth 2.0 app) の認証の種類のクライアント シークレット フィールドには資格情報アセットを使用できますが、結果として生成される OAuth トークンには使用できません。

前提条件

• Integration Service はテナントに対して有効化され、プロビジョニングされている。
• シークレット フィールドに資格情報アセットを使用する場合: Orchestrator に少なくとも 1 つの 資格情報ストア が設定されている。サポートされる外部コンテナーには、CyberArk、HashiCorp Vault、および Orchestrator の資格情報ストア連携でサポートされているその他すべてのコンテナーが含まれます。
• コネクションを作成するフォルダーで 1 つ以上の Orchestrator アセットが利用可能である。アセットの種類はフィールドによって異なります。[ パスワード]、[ API キー]、[ クライアント シークレット ] などのシークレット フィールドには、 Credential アセットが必要です。その他のフィールドは、 Text、 Bool、または Integer アセットを受け入れます。

手順 1: Orchestrator で資格情報ストアを構成する (資格情報アセットのみ)

シークレット フィールドに資格情報アセットを使用する予定の場合は、外部コンテナーに接続する資格情報ストアを Orchestrator に設定します。Text、Bool、または Integer アセットのみが必要な場合は、この手順をスキップします。

手順については、『Orchestrator ガイド』の「 資格情報ストアについて 」をご覧ください。

手順 2: Orchestrator でアセットを作成する

Orchestrator のフォルダーで、指定するフィールドの種類に一致するアセットを作成します。

• シークレット フィールドの場合: 種類が Credential のアセットを作成し、資格情報ストア内のシークレットにリンクします。
• その他のフィールドの場合: Text、 Bool、または Integer のアセットを作成し、値を直接入力します。

手順については、『Orchestrator ガイド』の「 Orchestrator でアセットを管理する 」をご覧ください。

手順 3: コネクションの作成時に資格情報アセットを参照する

1. Orchestrator でフォルダーを選択して [ コネクション ] タブに移動します。

2. [ コネクションを追加 ] を選択して、コネクタを選択します。

3. [コネクションの作成] ページで、サポートされているフィールドを見つけます。シークレット フィールド (パスワード、 API キー、 クライアント シークレット) とプレーン テキスト フィールド ( クライアント ID や トークン URL など) はどちらも Orchestrator アセットをサポートします。

4. フィールドの横のメニュー アイコンを選択し、[ 資格情報アセットを使用 ] (シークレット フィールドの場合) または [ Orchestrator アセットを使用 ] (その他のフィールドの場合) を選択します。

   

5. 使用するアセットを選択します。コネクションを作成しているフォルダーにあるアセット、または アセット リンクを使用してフォルダーと共有されているアセットを選択できます。

6. 残りのフィールドに入力し、[ 接続] を選択します。

よくある質問

資格情報アセット値は要求のたびにコンテナーから取得されますか?

いいえ。Credential アセットを使用すると、その値はメモリ内に 1 時間キャッシュ (暗号化) されるため、Vault API 呼び出しの繰り返しが減り、実行時の効率が向上します。キャッシュ期間を設定できません。Text、Bool、Integer の各アセット値は、使用のたびに Orchestrator から読み取られ、キャッシュされません。

キャッシュの有効期限が切れる前に資格情報アセットをローテーションするとどうなりますか?

キャッシュされた資格情報が無効になったために要求が失敗した場合、Integration Service はコンテナーから新しい値を自動的に取得し、失敗したステップをリトライします。これは、資格情報アセットにのみ適用されます。

アセット値は Integration Service に保存されますか?

Credential アセットの場合: いいえ。値は Integration Service のデータベースに書き込まれず、暗号化された状態でメモリに保持されるのは、キャッシュ期間 1 時間のみです。Text、Bool、Integer アセットの場合: 値は接続の使用時に Orchestrator から読み取られ、Integration Service では保持されません。

これはすべてのコネクタで機能しますか?

はい。この機能は、認証の種類に関係なくすべてのコネクタで機能します。

これはコネクション フォームのすべてのフィールドに適用されますか?

ドロップダウン フィールドはサポートされていません。ピッカーは表示されません。他のすべてのフィールドでは、ピッカーにはそのフィールドに対応するアセットの種類のみが表示されます。[ パスワード] や [API キー ] などのシークレット フィールドには 、Credential アセットのみが表示されます。その他のフィールドには、 Text、 Bool、 Integer のアセットが表示されます。

どの種類の Orchestrator アセットがサポートされていますか?

利用可能なアセットの種類は、フィールドの種類によって異なります。

フィールド	利用可能なアセットの種類
シークレット フィールド (パスワード、API キー、クライアント シークレット)	Credential
その他の分野	Text、Bool、Integer

どの外部コンテナーがサポートされていますか?

Orchestrator でサポートされているすべての種類の資格情報ストアがサポートされています。完全なリストについては、「 資格情報ストアについて」をご覧ください。外部コンテナーは Credential アセットにのみ適用されます。Text、Bool、Integer アセットでは、その値が Orchestrator に直接格納されます。

プロキシはサポートされていますか?

はい。接続状態のプロキシ構成と非接続のプロキシ構成の両方がサポートされています。

OAuth トークンに資格情報アセットを使用できますか?

いいえ。OAuth 2.0 のアクセス トークンと更新トークンは、最初の承認フローの後、常に Integration Service に保存されます。資格情報アセットを参照できるのは、接続画面の [シークレット] タイプの入力フィールド (BYOA 認証の [クライアント シークレット ] など) のみです。