コネクター認証情報の保存とアクセス

このページでは、コネクターの認証情報が、コネクター設定および実行時の実行全体を通じてどのように保存、保護、アクセス、廃止されるかを説明します。

概要

高レベルでは、次のとおりです。

• コネクターの認証情報はセルフホスト型の HashiCorp Vault インスタンスに保存されるため、シークレットは当社内に保持されます。
• アクセスは、承認されたプレイブックアクションを実行するために認証情報を必要とするサービスアカウントに限定されます。
• エンドユーザーが生の認証情報の値を取得することはなく、認証情報がログに記録されることもありません。
• 人によるアクセスはまれであり、レビューに加えて複数の承認が必要です。

コネクター認証情報の保存方法

すべてのコネクター認証情報は、暗号化されたシークレット保存とキー管理を提供するセルフホスト型の HashiCorp Vault インスタンスに保存されます。実際には、シークレットは専用のシークレットマネージャー内に当社で保持され、通常のアプリケーションデータとして保存されることはありません。

Vault は、きめ細かなアクセス制御により機密データを暗号化して保存します。また、アクセスと操作の詳細な監査ログも維持し、コンプライアンスおよびフォレンジック調査を支援します。

Vault の詳細については、HashiCorp Vault documentation を参照してください。Vault は完全なオープンソースでもあり、GitHub で監査可能です。

アクセスの制御方法

認証情報は、プレイブックおよび自動化タスクのために API 呼び出しを行う必要があるサービスアカウントにのみ提供されます。ロールを通じてアクセスを制限しているため、サービスは使用を許可されたシークレットのみを取得できます。

• サービスアカウントは、認証情報にアクセスする前に認証を行います。
• アクセスは、承認されたアクションを正常に実行するために必要なロールに限定されます。
• 読み取られた認証情報はメモリー内にのみ保持され、ログに記録されることはありません。
• 認証情報が不要になるとすぐに、参照が解除されてメモリーから破棄されます。
• これらのロールへの人によるアクセスは、複数の承認を伴うレビュープロセスを通じてのみ可能です。これを承認することはまれであり、極端な状況でのみ実施します。

実行時における認証情報の使用方法

プレイブックアクションが実行されると、サービスは必要な API 呼び出しを行うために必要な場合にのみコネクター認証情報を取得します。認証情報はそのアクションのために使用され、必要な間はメモリー内に保持され、その後破棄されます。

エンドユーザーは、基になる認証情報の値を見ることなく、コネクター設定の詳細を表示できます。生のシークレットが通常の UI または API の読み取りを通じて返されることはありません。

ライフサイクル、ログ記録、および失効

Vault により、コネクター認証情報を長期にわたって管理するための一元的な場所が提供されます。認証情報を変更または削除する必要がある場合、当社のサービスは Vault 内の関連するシークレットを更新または失効できます。

Vault は、アクセスと操作の詳細なログも記録します。セキュリティインシデントが発生した場合でも、コンプライアンス要件を支援するために必要な情報を確保できます。

サービスアカウントによって読み取られた認証情報がログに記録されることはありません。これらは、承認されたタスクを完了するために必要な時間だけメモリー内に保持されます。