IBM Cloud：Secrets Managerの概要

概要

本記事では、Secrets Managerについて記載し、実際にUser/Passwordを登録する手順を記載します。
Secrets ManagerはCertificate Managerの代替としても紹介されていますが、管理対象や機能など異なる部分があるので、ご注意ください。

Secrets Managerの構成

Secrets Managerは以下で構成されます。

• シークレット
• シークレット・グループ
• シークレット・エンジン
  それぞれについて、以下で詳細説明します。

シークレットについて

Secrets Managerは、シークレットと呼ばれる機密情報を管理します。シークレットには、以下の様な、機密システムにアクセスするために使用する情報が該当します。

• ユーザー認証情報
• SSL証明書
• IAMキー (IBM Cloudサービスで使用)
• 外部APIキー
  Secrets Managerでは、メタデータとシークレットの値で管理されます。
  以下の画像はシークレットのjson表記です。

シークレット・グループについて

Secrets Managerでは、グループを作成してシークレットを編成し、チームの誰がグループに属するシークレットにアクセスできるかを制御できます。シークレット・グループでは、Manager、Writer、Secrets Reader、Readerの4種類で分類されます。

• Manager：Writer以上の権限を持ち、シークレットグループの管理、シークレットエンジンの設定、シークレットポリシーの管理など、特権的なアクションを完了することができます。
• Writer：シークレットの作成と編集を含む、SecretsReaderの役割を超える権限を持ちます。(シークレットグループの作成、シークレットのローテーションポリシーの管理、シークレットエンジンの設定を行うことはできません。)
• SecretsReader：読み取り専用のアクションを実行することができ、また、シークレットに関連付けられたシークレットデータにアクセスすることができます。(シークレットを作成したり、既存シークレットの値を変更したりすることはできません)
• Reader：サービス固有のリソースを表示するなど、Secrets Manager内で読み取り専用のアクションを実行できます。Readerは、シークレットに関連付けられたメタデータにのみアクセスすることができます。
  必要でなくなったシークレット・グループは削除できます。

シークレット・エンジンについて

シークレット・エンジンは、パスワードや API キーなど特定のタイプのシークレットのバックエンドとして機能します。シークレット・エンジンは、タイプに応じてデータを保管したり、オンデマンドでシークレットを生成したりすることができます。
一部のエンジンは、インスタンスで使用するには事前の構成が必要です。例えば、TLS 証明書を注文しようとしたり、初めて IAM 資格証明を作成しようとするときに、エンジンの構成が必要だというメッセージが表示されます。

シークレットを登録してみる

Secrets Managerインスタンスの作成

IBM Cloud コンソールで、左上の検索ボックスより「secrets」を入力し、"Secrets Manager"を選択します。

必要項目を入力し、"Create"をクリックすると作成されます。

シークレット・グループの作成

IBM Cloud コンソールで、左上のハンバーガーメニューより「リソース・リスト」をクリック、サービスのリストからSecrets Manager のインスタンスを選択します。
「シークレット・グループ」 タブをクリックし、「作成」 をクリックします。

名前の入力し、「作成」 をクリックすると作成されます。

シークレット・グループへの登録

Secrets Managerインスタンスページより、「シークレット・グループ」 タブをクリックすると先ほど作成したシークレット・グループが表示されます。
先ほど作成したシークレット・グループをクリックし 「Manage access」 をクリックします。

アクセスグループを選択し、対象と権限を設定し、「Add」 をクリックします。
同様に追加したいアクセスグループを全て追加したのち、「review」 をクリックすると対象ユーザーがアサインされます。

シークレットの作成

Secrets Managerインスタンスページより、「シークレット」 タブをクリックし、「追加」 をクリックします。

対象のシークレット種別を選択します。（今回はUser Credentialsを選択します）

シークレット名を入力、シークレット・グループを選択します。
管理したいusernameとpasswordを入力します。

完了すると下記画像のような呼び出し方法が表示され、登録が完了しました。(こちらは後からでも確認できます)

シークレットを呼び出してみる

先ほど表示されていたCLIをコピペし、登録したシークレットを取得してみます。

# ibmcloudコマンドでログイン
$ ibmcloud login -apikey xxxxxxxxxxxxxxxx -r jp-tok
API endpoint: https://cloud.ibm.com
Authenticating...
OK
...
# secrets manager プラグインをインストール
$ ibmcloud plugin install secrets-manager
Looking up 'secrets-manager' from repository 'IBM Cloud'...
Plug-in 'secrets-manager[sm] 0.1.19' found in repository 'IBM Cloud'
Attempting to download the binary file...
 11.11 MiB / 11.11 MiB [============================================] 100.00% 2s
11648192 bytes downloaded
Installing binary...
OK
Plug-in 'secrets-manager 0.1.19' was successfully installed into /Users/jp419713/.bluemix/plugins/secrets-manager. Use 'ibmcloud plugin show secrets-manager' to show its details.
# 登録したパスワードを取得
$ ibmcloud secrets-manager secret --secret-type "username_password" --id "xxxxxxxxxxxxxxxx" --service-url https://xxxxxxxxxxxxxxxx.us-south.secrets-manager.appdomain.cloud
...
name                          test-user-credentials
id                            xxxxxxxxxxxxxxxx
secret_type                   username_password
secret_group_id               xxxxxxxxxxxxxxxx
state_description             Active
description                   None
labels                        None
expiration_date               None
secret_data                   password="12345678"
                              username="testuser"
$

取得できました！！