テナントごとに暗号化キーを設定する

Automation Suite の Test Cloud (プライベート) でテナントごとに暗号化キーを設定します。必要な設定と検証のガイダンスが含まれます。

Microsoft Azure Key Vault を使用して、Orchestrator インスタンス内のテナントをそれぞれ一意のキーで暗号化できます。Orchestrator は、この Key Vault を使用して、キーを安全に格納して管理します。これにより、テナント間でデータをより適切に分離できます。

この機能は Automation Suite にインストールした Orchestrator で利用できますが、Orchestrator アプリをインターネットと Azure Key Vault に接続する必要があります。

概要

アプリ登録を介して Azure Key Vault を使用するには、Orchestrator 認証が必要です。アプリ登録によって、アプリケーションに一連の権限を付与できます。この場合、Orchestrator がアプリケーションで、Azure Key Vault が対象となる権限です。

まず、アプリ登録による Azure Key Vault へのアクセスを設定する必要があります。アプリ登録による Orchestrator の認証は、証明書の SSL 秘密キーと、アプリ登録にアップロードされた SSL 公開キーを使用して実行できます。アプリの登録と Key Vault を設定したら、Automation Suite クラスターで使用される orchestrator-customconfig 構成マップに何らかの変更を加え、Orchestrator アプリの関連する ArgoCD パラメーターを ArgoCD UI から変更する必要があります。これらの条件が満たされたら、Orchestrator で Azure Key Vault を使用して各テナントを暗号化できます。

前提条件

• 独自の Microsoft Azure Key Vault
• Automation Suite への Orchestrator のクリーン インストール
• 有効な SSL 証明書:
  • 秘密キー証明書 — [App Service] > [SSL の設定] > [秘密キー証明書] にアップロードする必要があります。
  • 公開キー証明書 — [アプリ登録] > [設定] > [キー] > [公開鍵] にアップロードする必要があります。
• (任意) 自己署名証明書

.pfx 証明書ファイルを Base64 に変換するには、次のコマンドを実行します。

• PowerShell: [convert]::ToBase64String((Get-Content -path "path_to_certificate" -Encoding byte))
• Shell: base64 [_path_to_certificate_]
  注:

  Azure Key Vault サイドで、ユーザーが暗号化キーを編集することはできません (シークレットを有効/無効化する、アクティブ化した日、有効期限日など)。シークレットが無効化されていると、該当するテナントで Orchestrator が格納したデータは暗号化されません。

アプリの登録手順

Azure Portal の [アプリの登録] ペインで、以下の手順を実行します。

1. 新しいアプリの登録を作成します。
2. 後で使用するためにアプリケーション (クライアント) ID をコピーします。
3. [管理] > [証明書とシークレット] に移動し、前提条件に記載されている公開 SSL 証明書キーをアップロードします。

Azure Key Vault の手順

Azure Key Vault で、次の操作を行います。

1. [キー コンテナー] の [概要] ページにアクセスし、後で使用するために DNS 名をコピーします。

2. [キー コンテナー] ページに移動し、[設定] > [アクセス ポリシー] を選択します。

3. [ アクセス ポリシーの追加] を選択します。

4. [テンプレートからの構成 (省略可能)] ドロップダウン メニューから、[キー、シークレット、および証明書の管理] を選択します。

5. [認可されたアプリケーション] セクションで [なし] を選択して、[プリンシパルを選択] フィールドを有効化します。

6. アプリ登録名を入力し、アプリケーション ID が正しいことを確認して、このプリンシパルを選択します。

7. [追加] を選択します。

   

Orchestrator のカスタム構成手順

Orchestrator に以下の構成変更を加えます。

1. Orchestrator インスタンス用の Azure Key Vault を ArgoCD UI パラメーターから構成します。

   1. a証明書の Base64 形式をコピーし、それを encryptionKeyPerTenant.certificateBase64 パラメーターの値として指定します。
   2. 証明書のパスワード (存在する場合) をコピーし、それを encryptionKeyPerTenant.certificatePassword パラメーターの値として指定します。
   3. [アプリの登録] ページから入力アプリケーション (クライアント) ID をコピーし、encryptionKeyPerTenant.clientId パラメーターの値として指定します。
   4. [アプリの登録] ページから組織のディレクトリ (テナント) ID をコピーし、encryptionKeyPerTenant.directoryId パラメーターの値として指定します。
   5. [キー コンテナー] の [概要] ページから DNS 名をコピーし、encryptionKeyPerTenant.vaultAddress パラメーターの値として指定します。
   

2. 次のように orchestrator-customconfig 構成マップの AppSettings セクションを更新して、テナントごとの暗号化キー機能を有効化します。

   1. EncryptionKeyPerTenant.Enabled を true に設定します。
   2. EncryptionKeyPerTenant.KeyProvider を AzureKeyVault に設定します。

3. 変更を反映するために、クラスターから Orchestrator Automation Suite のデプロイを再実行します。

   注:

   スタンドアロンの Orchestrator から Automation Suite に移行する場合、Identity Server の SMTP 設定はテナントごとのキーで暗号化されません。移行が完了したら、Automation Suite ポータルで必ず SMTP パスワードを再入力してください。