説明

参考文献:
Cyber​​Ark Sentry Secrets マネージャー
ドキュメント: https://docs.cyberark.com/Portal/Content/Resources/_TopNav/cc_Portal.htm Cyber​​Ark Sentry Secrets Manager コース資料: https://training.cyberark.com/learn Cyber​​Ark ホワイトペーパーと技術リソース: https:/ /www.cyberark.com/resources/home/cyberark-secrets-manager 認証フローは、要求者が資格情報を Conjur に提示することから始まります。これは、ユーザー名とパスワード、API キー、またはサポートされている別の方法の形式にすることができます。
Conjur は、提示された資格情報を内部データベースと照合して検証します。資格情報が有効な場合、Conjur は有効期間の短いアクセス トークンを生成して要求者に返します。
リクエスターは、Conjur リソースにアクセスする後続のすべてのリクエストにアクセス トークンを含めます。これにより、Conjur は要求者を識別し、設定されたポリシーに基づいて特定のシークレットと機能へのアクセスを承認できます。
最後に、各リクエストは、そのポリシーで定義されている Conjur RBAC (Role-Based Access Control) ルールに対して評価されます。これらのルールにより、どのユーザーとロールが特定のリソースにアクセスできるか、またどのようなアクションを実行できるかが決まります。これらのルールに準拠するリクエストのみがアクセスを許可されます。

説明
= Summon は、一般的な DevOps ツールにオンデマンドのシークレット アクセスを提供するコマンド ライン ツールです。これは、secrets.yml 形式のファイルを読み取り、シークレットを環境変数として任意のプロセスに挿入します。Secrets.yml ファイルでは、Cyber​​Ark Secrets Manager などの信頼できるストアから取得するシークレットを定義します。Secrets.yml ファイルは、各シークレットの名前と場所、およびシークレットを割り当てる環境変数を指定します。たとえば、secrets.yml ファイルは次のようになります。
DB_USERNAME: !var dev/my-app/db-username DB_PASSWORD: !var dev/my-app/db-password これは、Summon が dev/my-app/db-username と dev/my-app の値を取得することを意味します。 /db-password を信頼できるストアから取得し、それらを環境変数 DB_USERNAME および DB_PASSWORD にそれぞれ割り当てます。次に、Summon はこれらの環境変数を設定して指定されたプロセスを実行し、プロセスが終了するとそれらを削除します。このように、Summon を使用すると、シークレットをプレーン テキストで公開したり、ファイルに保存したりすることなく、安全かつ便利にシークレットにアクセスできるようになります。
参考 = Summon by cyberark - GitHub Pages; 開発から本番への移行時に Summon を使用してシークレットを管理する

説明
Cyber​​Ark Sentry Secrets Manager のドキュメントによると、Kubernetes の Secrets Provider は、Push-to-File モードの初期コンテナまたはサイドカーとしてデプロイできます。Push-to-File モードでは、シークレット プロバイダーは Conjur シークレットを、アプリケーション コンテナと同じポッド内の共有ボリューム内の 1 つ以上のシークレット ファイルにプッシュします。その後、アプリケーション コンテナは共有ボリュームからシークレット ファイルを使用できるようになります。Push-to-File モードでのローテーションをサポートするために使用する必要がある展開オプションはサイドカーです。サイドカーは継続的に実行でき、Conjur のシークレットの更新を確認できるためです。変更が検出された場合、サイドカーは共有ボリューム内のシークレット ファイルを更新できます。一方、init コンテナは完了するまで実行され、ローテーションはサポートされません。アプリケーション コンテナーとサービス ブローカーは、Push-to-File モードの Kubernetes 用シークレット プロバイダーの有効なデプロイメント オプションではありません。参考資料: 1: シークレット プロバイダー - 初期化コンテナー/サイドカー - ファイルへのプッシュ モード 2: シークレット プロバイダー - 初期化コンテナー/サイドカー - ファイルへのプッシュ モード

説明
各シナリオに適した Secrets Manager ソリューションは次のとおりです。
OIDC や JWT などのトークンベースのシークレットの取得: Conjur
可能な限り最速のシークレット配信パフォーマンスを必要とするワークロード: ASCP OS ユーザーに依存するエージェントレス ワークロード認証: CCP これらのソリューションについては、Cyber​​Ark Web サイトのシークレット管理ツール ページで説明されています。

説明
B: ログ ファイル「CreateEnv.log」を確認し、そこに含まれるエラー メッセージを調査します。
CreateEnv.log ファイルには、インストール中に Vault に CP 環境を作成する手順と結果が記録されるため、これが最良のオプションです。CP 環境には、金庫、プロバイダー ユーザー、アプリケーション ユーザー、およびアプリケーション ID が含まれます。CP 環境の作成時にエラーが発生した場合、エラーはこのファイルに記録され、Vault 接続、資格情報ファイル、権限、または構成に問題があることを示している可能性があります。ログ ファイルを確認すると、エラーの根本原因を特定して解決し、CP 環境が適切に設定されていることを確認できます。
何もせずに CP を使用するようにアプリケーションの構成を続けることは、CP またはアプリケーションの予期しない動作や一貫性のない動作につながる可能性があるため、良い選択肢ではありません。CP 環境の作成時に発生したエラーは、資格情報またはアプリケーションのセキュリティ、可用性、または整合性に影響を与える可能性があります。エラーを無視すると、後でトラブルシューティングや修正が困難になる可能性もあります。
setup.exe を再度実行して [Vault 環境の再作成] を選択することは、既存の CP 環境を上書きまたは削除し、さらにエラーや競合が発生する可能性があるため、適切なオプションではありません。Vault 環境の再作成は、ログ ファイルを確認してエラーの原因を理解した後にのみ実行してください。
さらに、Vault 環境を再作成するには、一部のオブジェクトがすでに使用されているかロックされている可能性があるため、初めて作成する場合よりも多くの権限が必要になる場合があります。
PVWA ログを確認して、インストールが失敗したときに使用された REST API 呼び出しを特定することは、エラーを理解または解決するための十分な情報やコンテキストが提供されない可能性があるため、良い選択肢ではありません。PVWA ログには、REST API 呼び出しの HTTP ステータス コードやメッセージが表示される場合がありますが、呼び出しや応答の詳細やパラメーターは表示されない場合があります。PVWA ログには、エラーを混乱させたり注意をそらしたりする可能性のある、関連性のない、または関係のない他のエントリも含まれている場合があります。CreateEnv.log ファイルは、CP 環境の作成時に発生したエラーに関する、より具体的で信頼できる情報源です。