オンプレミスエージェント向けMicrosoft Azure Key Vaultの設定 ​

Microsoft Azure Key Vaultは、クラウドでシークレットを安全に保存してアクセスできるサービスです。 Workatoは、オンプレミスシステムのシークレット管理にAzure Key Vaultをサポートしています。

OPAコネクションタイプに対するAzure Key Vaultのサポート ​

Azure Key Vaultはクラウドプロファイルとコネクションプロファイルの両方をサポートしていますが、Azure Key Vaultへの接続および使用のプロセスはそれぞれ異なります。概要を次の表に示します:

シークレットがKey Vaultに保存されているオンプレミスシステムのコネクションタイプに応じて、Azure Key Vaultを設定して使用します:

• クラウドプロファイルとして設定されたオンプレミスシステムでAzure Key Vaultを使用する
• コネクションプロファイルとして設定されたオンプレミスシステムでAzure Key Vaultを使用する

クラウドプロファイルでAzure Key Vaultを使用する ​

クラウドプロファイルとして設定されたオンプレミスシステムの認証情報を保存するためにAzure Key Vaultを設定して使用するには、次の手順を完了します:

1. Microsoft Entra IDにアプリケーションを登録する。 これにより、WorkatoはKey Vaultからシークレットを取得できます。
2. ワークスペースレベルのSecrets managementまたはプロジェクト固有のSecrets management向けにAzure Key Vaultを設定します。
3. コネクションでAzure Key Vaultシークレットを使用する。 コネクション設定のコネクションタイプフィールドで、クラウドプロファイル（Workatoで直接設定することを意味します）として設定したオンプレミスグループの名前を選択します。

コネクションプロファイルでAzure Key Vaultを使用する ​

このガイドでは、Workatoのオンプレミスエージェント（OPA）でMicrosoft Azure Key Vaultを使用して、コネクションプロファイルとして設定されたデータベースの認証情報を保存する方法を説明します。

注: このチュートリアルでは、シークレットを使用してパスワードを暗号化する方法に焦点を当てますが、シークレットは任意のコネクション値の暗号化に使用できます。 これにはユーザー名、データベース名などが含まれます。

前提条件 ​

Azure Key VaultをOPAで使用するように構成するには、以下が必要です:

• Workatoのオンプレミスグループ権限。
• Azureでの以下の権限:
  • 以下を実行できる権限:
    • シークレットの作成
    • アプリケーションへのロールの登録と割り当て
  • 既存のキーコンテナー。 キーコンテナーの作成はこのチュートリアルの範囲外ですが、こちらのAzureガイドを使用して作成できます。
  • リソースへの読み取りアクセス権を持つ既存のサービスプリンシパル。 Workato OPAは、Azureへのリクエストで認証情報を提供するためにEnvironment変数を使用します。 キーコンテナーへの読み取りアクセス権を持つサービスプリンシパルを作成するには、こちらのAzureガイドを使用します。

secrets:
  provider: azure
  vault: WorkatoSDKeyVault
  tenant: <tenant-id>
  clientId: <client-id>
  clientSecret: {encrypted: 'RCVtuGPjJWNqwkFQvhT...'}

ステップ1: Azureでシークレットを作成する ​

ステップ2: OPA設定ファイルを設定する ​

このステップでは、作成したキーコンテナーに関する情報をOPA設定ファイルに追加します。

secrets:
  provider: azure
  vault: <VAULT_NAME>

ステップ3: データベースプロファイルを設定する ​

最後に、データベースのプロファイルで使用するシークレットを指定します。

database:
  sales_database:
    adapter: sqlserver
    host: localhost
    port: 1433
    database: test
    username: sales_user
    password: { secret: 'sales-db-password-password' }

database:
  sales_database:
    adapter: sqlserver
    host: localhost
    port: 1433
    database: test
    username: sales_user
    password: { secret: 'sales-db-password-password', vault: 'other-vault' }