コネクション認証情報のSecrets management ​

コネクション認証情報の管理を簡素化するために、外部シークレットマネージャーを使用して、パスワードやAPIトークンなどの機密情報を安全に保存および取得できます。

Workatoの外部Secrets management機能では、ハードコードされたコネクション認証情報の代わりにシークレットを使用できます。 認証情報管理を一元化すると、認証情報が使用されている場所で手動更新することなく、パスワードローテーションなどのセキュリティベストプラクティスを採用できます。

このガイドでは、次のトピックについて説明します。

• Secrets managementの仕組み
• Workatoがサポートするシークレットマネージャー
• シークレットを使用したコネクションの設定
• ワークスペースレベルとプロジェクトレベルのSecrets management

Secret managementの仕組み ​

シークレットマネージャーを使用すると、Workatoに情報を直接入力する代わりにシークレットを使用できます。 シークレットには、パスワードなどの機密情報が含まれます。

コネクションを設定するときは、認証情報を手動で取得して入力する必要があります。 これらの認証情報が変更されるたびに、たとえばパスワードをリセットした場合、そのパスワードを使用するすべてのアプリケーションでパスワードを更新する必要があります。

ただし、代わりに外部シークレットマネージャーを使用する場合は、シークレットマネージャーでパスワードを更新し、Workatoでコネクションを更新するだけで済みます。 参照を使用するアプリケーションは、シークレットの更新された値を取得するため、手作業、中断、そして最も重要なセキュリティリスクを最小限に抑えられます。

概略として、シークレットマネージャーをWorkatoでコネクション認証情報管理に使用する仕組みは次のとおりです。

サポートされているシークレットマネージャー ​

Workatoの機能は現在、次のシークレットマネージャーをサポートしています。

• AWS Secrets Manager
• Azure Key Vault
• CyberArk Conjur Secrets Manager
• Google Secret Manager
• HashiCorp Vault

シークレットを使用したコネクションの設定 ​

Workatoコネクションでシークレットを使用する方法は、使用しているシークレットマネージャーの種類によって異なります。 詳細については、お使いのシークレットマネージャーのガイドを参照してください。

• Amazon Web Services（AWS）Secrets Manager
• Azure Key Vault
• CyberArk Conjur Secrets Manager
• Google Secret Manager
• HashiCorp Vault

ワークスペースとプロジェクトのSecrets management ​

通常、Secrets managementはワークスペース全体に対して設定します。 組織でよりきめ細かなアクセス制御が必要な場合は、個別のプロジェクトレベルで設定できます。 これにより、プロジェクト内でシークレットを指定できるため、プロジェクト内のコネクションはプロジェクト設定で指定されたロールを引き受けることができます。

たとえば、組織がDevOpsプロジェクトでのみ使用するS3コネクションを設定している場合、S3コネクション認証情報にアクセスできるプロジェクト固有のIAMロールを作成できます。 これにより、複数のプロジェクトで使用できる汎用IAMロールが置き換えられます。

シークレットの形式設定 ​

特定の種類のシークレットは、Workatoで使用するために正しく形式設定する必要があります。 シークレットマネージャーにシークレットを追加する際は、正しい形式を使用していることを確認してください。

X.509証明書 ​

シークレットマネージャーでX.509証明書を形式設定する方法の例については、次のX.509証明書を参照してください。

-----BEGIN PRIVATE KEY-----\nMIIEvQIBADANBgkqhkiG9w0BA\nQEFAASCBKcwggSjAg\nxxxxxxxxxxxxxx\n-----END PRIVATE KEY-----\n

シークレットマネージャーコネクションのトラブルシューティング ​

シークレットマネージャーを使用するようにコネクションを設定したが、コネクションがPermission deniedエラーを返す場合は、次の手順を実行してコネクションのトラブルシューティングを行います。

1. 認証情報の有効性を確認
2. プロバイダーAPIを使用したシークレット取得をテスト

認証情報の有効性の確認 ​

シークレットマネージャーへの接続に使用する認証情報が有効かどうかを確認するには、次の手順を実行します。

vault read auth/{approle-name}/role/{role-name}

vault read auth/workato_approle/role/workato

プロバイダーAPIを使用したシークレット取得のテスト ​

Step 1で確認した権限がまだ有効な場合は、PostmanやcurlなどのAPIクライアントを使用してシークレットマネージャーにAPIコールを行い、任意のシークレットを取得します。 これにより、シークレットマネージャーのコネクションが失敗する理由について、より多くのInsightsが得られるはずです。

シークレットマネージャーにAPIコールを行うには、次のドキュメントを参照してください。

• AWS Secrets Manager API operations
• Azure Key Vault secret operations
• Google Secret Manager API operations
• HashiCorp Vault API operations