AWS 資格情報取得の事例
- 最終更新日2023/11/17
AWS 資格情報取得の事例
ブートストラップ、システム、自動ログイン、オートメーションの事例に関する AWS 資格情報を取得することができます。
Control Room ブートストラップ資格情報の取得
Automation 360 Control Room は、ブートストラップ資格情報を使用して、データベース、サービス アカウント、Active Directory (AD) などのサポート サービスにアクセスします。これらの資格情報は、オンプレミスの初期インストール時、またはインストール後 (キー Vault ユーティリティを使用) に、オブジェクト名を指定することで設定されます。
次の画像は、AWS で Control Room ブートストラップ資格情報を取得するプロセスを示しています。
ブーストラップ シーケンスや通常操作 (サービス認証の更新など) で必要な場合、Control Room は、キー Vault の接続を使用して資格情報を取得し、必要な認証を実行します。
Control Room システム資格情報の取得
初期インストール時に外部キー Vault を構成した場合、Automation 360 ユーザー インターフェース (インストール後) を使用して、SMTP および Active Directory (AD) の資格情報を設定できます。
- Automation 360 Control Room に管理者としてログインします。
- Control Room から、次のように移動します。。
- 外部キー Vault から AD プライマリー アカウントの資格情報をマッピングしたり、外部資格情報を設定したり、手動に設定したり (AD プライマリー アカウントの資格情報取得のモードを切り替える) することができます。
自動ログイン資格情報の取得
自動ログイン資格情報は、Automation 360 ボット エージェント デバイスの認証とアクティブな Windows セッションの開始に使用されます。ロボティック・プロセス・オートメーション (RPA) が機能するためには、Windows セッションをアクティブにする必要があります。オートメーションがリモート ボット エージェント デバイスから起動した場合、オートメーションが実行される前に自動ログインが実行されます。
次の画像は、AWS で自動ログイン資格情報を取得するプロセスを示しています。
Control Room 管理者は、次の詳細を指定することで、ボット エージェント デバイス上でオートメーションを起動するジョブを手動で起動またはスケジュールできます。
- オートメーション (Bot) 名
- デバイス名
- ユーザー コンテキスト
システムは、ユーザー コンテキストに関連付けられたユーザー名とパスワードを使用して指定されたデバイスに自動ログインを実行し、デバイス上でオートメーションを実行します。
自動ログインの資格情報を外部キー Vault から取得する各 Control Room ユーザーの秘密を用意する必要があります。そして AWS Secrets Manager のシークレット名は、Control Room のユーザー名と一致する必要があります。
外部キー Vault からの自動ログイン資格情報の取得を構成するには、次の手順を実行します。
- Automation 360 Control Room に管理者としてログインします。
- Control Room から、 に移動します。
- 自動ログインの設定セクションまでスクロールし、[編集] をクリックします。
- 以前に AWS Secrets Manager を外部キー Vault の接続として設定したことがある場合、[有効] をクリックして、その外部キー Vault から自動ログイン資格情報を取得します。
このオプションが無効な場合、外部キー Vault 接続は構成されません。
注: 外部キー Vault からの自動ログインを無効にすると、AAI Credential Vault と保存された資格情報を使用して資格情報が取得されます。 - AWS Secrets Manager は、組織コンテナを持たないフラットな名前空間であるため、Safe 名を入力する必要はありません。[変更を保存] をクリックします。
成功すると、自動ログイン設定が正常に保存されたことを示すメッセージが表示されます。
自動ログインの命名規則
Control Room は、外部キー Vault 内のオブジェクト命名規則に基づいて、自動ログイン資格情報を取得します。Control Room は、オブジェクト名 (外部キー Vault の資格情報名) が、自動ログインを実行している Control Room ユーザー名と一致するオブジェクトを検索します。
プレフィックス autologin_ は、すべての外部キー Vault の自動ログイン資格情報の命名規則の一部として必要です。CyberArk、AWS、および Azure。外部キー Vault の自動ログイン資格情報の名前には、autologin_ の後に Control Room ユーザー名が続く必要があります。場合によっては、特定のキー Vault には、資格情報オブジェクト名に使用できる文字が制限される場合があります。また、さまざまな使用事例での資格情報のエンコード方法をサポートするために、Automation 360 は、特定の文字を予約したりエンコードしたりすることを要求します。
次の表に、Control Room で想定されるオブジェクトの命名規則の例を示します。
| Control Room ユーザー名 | 想定されるオブジェクト名の形式 |
|---|---|
| ABCD\user123 | autologin_ABCD--user123 |
| user123@rpa.abcd.com | autologin_user123-40-rpa-2e-abcd-2e-com |
自動ログイン資格情報について、以下の点に留意してください。
- 外部キー Vault のオブジェクト名には、プレフィックスとして autologin_ を含める必要があります。
- 自動ログイン資格情報名は、取得した資格情報の Control Room ユーザー名 (ログイン ID) にマッピングされる必要があります。
外部キー Vault によっては、シークレット名 (オブジェクト名) のバックスラッシュ (\) やアットマーク (@) などの特定の文字の使用や、API コール内での特殊文字の使用の解釈について、制限がある場合があります。ユーザー ID に特殊文字が含まれている場合、次の表に示すように、外部キー Vault のシークレット名 (オブジェクト名) は、ASCII コードの文字置換でエンコードする必要があります。
| 文字 | この ASCII コード文字置換の変更点 |
|---|---|
| \ (バックスラッシュ) | -- |
| - (ダッシュ) | -2d- |
| _ (アンダースコア) | -5f- |
| ＠ (アットマーク) | -40- |
| 。(ピリオド) | -2e- |
AWS の自動ログイン資格情報の例
この自動ログイン資格情報取得の例では、特定のユーザーとして、デバイスに Bot をデプロイする Control Room ユーザーについて考えてみましょう。この例では、次のような詳細を使用しています。
- デバイスで実行されるオートメーション (Bot) 名 = ProcureToPayGeoEast
- エージェント デバイス名 = WinVDI1138
- エージェント ユーザー コンテキスト = rpauserCR1@abcd.com
次の画像は、AWS で自動ログイン資格情報を取得する例を示しています。
オートメーションを開始する前に、次のことを確認してください。
- Control Room 接続の詳細が正常に構成されており、Control Room がこれらの接続情報を使用して AWS に接続し、認証を実行している。
-
Control Room は WinVDI1138 デバイスで実行されている ボット エージェント デバイスにクエリを発行し、デバイス WinVDI1138 に現在アクティブな Windows (オペレーティング システム) セッションがあるかどうか、およびそのセッションがエージェント ユーザー rpauserCR1 に属しているかどうかを確認している。
ユーザー rpauserCR1 のデバイスに既存のセッションが存在する場合、自動ログインを実行する必要はなく、Bot はデプロイを続行します。
- ただし、アクティブなセッションがない場合や、rpauserCR1 に属していないアクティブなセッションがある場合、Control Room は、AWS Secrets Manager から自動ログイン資格情報を取得する。
- Control Room が資格情報 (パスワード) を ボット エージェントに渡している。ボット エージェントは、rpauserCR1 の自動ログイン資格情報を使用して、(他のユーザーのログイン セッションからログオフしてから) rpauserCR1 として WinVDI1138 デバイスにログインします。その後、オートメーション (Bot) ProcureToPayGeoEast は、デバイス WinVDI1138 で rpauserCR1 として実行を開始します。
オートメーション資格情報の取得
オートメーション資格情報は、Bot 開発者がオートメーション (Bot) アクション内で使用する変数で、暗号化されたストレージからデータを定義して取得するために使用されます。オートメーションでは、資格情報を使用してアプリケーション (例: 金融アプリケーション) を認証します。オートメーション資格情報は、実行時に Automation 360 ボット エージェントによって取得されます。
次の画像は、AWS でオートメーション資格情報を取得するプロセスを示しています。
AWS Secrets Manager から取得したオートメーション資格情報は、Automation Anywhere Credential Vault でマッピングされます。Credential Vault は、次の 2 種類のオートメーション資格情報をサポートしています。
- システム資格情報
- 資格情報変数によって返される値が、その変数を使用するすべてのオートメーションで同じである資格情報。
- ユーザー定義の資格情報
- 資格情報変数によって返される値が、オートメーションが実行されているユーザー コンテキストに基づいて区別される資格情報。
システム資格情報とユーザー定義の資格情報の両方について、Bot 開発者は Bot コード内で同じ資格情報変数を指定します。次に、システムで、Bot 実行時に取得する資格情報が決定されます。
ユーザー定義の資格情報により、Bot 開発者は単一の資格情報変数を使用してコードを書くことができ、RPA プラットフォームが実行時に返される値をユーザー固有の値に置き換えるため、自動化開発が簡素化されます。開発者は、異なるユーザー固有の資格情報変数を使用して重複したコードの書き込みを回避できます。
次の画像は、AWS 資格情報として想定される命名規則を示しています。
この図は、Control Room Credential Vault で 2 つの資格情報にマッピングすることができる AWS Secrets Manager にある 6 つの秘密を示しています。
- Object3
- Object4
たとえば、Control Room 内のロッカーを prefixID3 または prefixID4 のどちらかにマッピングできます。次に、シークレットを資格情報にマッピングします。資格情報ごとに、シークレットは、システム定義の 1 つの資格情報 (ユーザー名のポストフィックスなし) およびユーザー定義の 2 つの資格情報 (ユーザー名が User1ID1 と User1ID2 である Control Room ユーザーにそれぞれ 1 つ) として使用されます (Control Room で取得されます)。
AWS Secrets Manager では、各オートメーション資格情報は、ユーザー名を識別するプレフィックス、オブジェクト識別子、任意のポストフィックスなどの特定の識別子を含む名前で格納されます。正しい資格情報を確実に取得するためには、このような命名規則が必要です。AWS Secrets Manager の秘密の名前 (資格情報) は、Automation Anywhere Credential Vault のマッピングに関する情報をエンコードしています。
管理者として、Control Room を AWS Secrets Manager にマッピングするには、次の手順で Automation 360 Control Room の [ロッカーを作成] と [資格情報を作成] の機能の外部キー Vault オプションを使用してロッカーと資格情報を作成し設定します。
- AWS のシークレット名のプレフィックスにマッピングする Credential Vault のロッカーを構成します。
- AWS 秘密オブジェクト識別子 (ユーザー定義資格情報の任意のポストフィックス) にマッピングする Credential Vault の資格情報を構成します。
実行時に、RPA プラットフォームは、オートメーションが実行されているユーザー コンテキスト (ユーザー定義資格情報) と一致するポストフィックスを持つ名前のシークレットを取得します。ユーザー定義資格情報がない場合、RPA プラットフォームはユーザー名のポストフィックス (システム資格情報) を使用せずにシークレットを取得します。
Control Room では、ロール内の権限を通じて、外部の資格情報へのアクセス制御を実現します。ロールごとに異なる Control Room ユーザーを割り当て、それらのロールに異なるロッカーを関連付けることで、資格情報へのアクセスを制御します。
次の画像は、AWS の秘密にマッピングされている Control Room Credential Vault ロッカーと資格情報を示します。
オートメーションの命名規則
次の表に、オートメーションの命名規則を使用した AWS Secrets Manager 外部キー Vault の例を示します。
| オートメーション資格情報の例 | AWS プレフィックス | AWS シークレット ボディ | AWS 内のシークレット | Control Room ユーザー名 |
|---|---|---|---|---|
|
accounting_pdf AWS シークレット名プレフィックス accounting にマッピングされたロッカー内のシステム資格情報 |
accounting | accounting_pdf (システム) | なし - システム資格情報 | |
|
accounting_pdf_ABCD--user123 AWS シークレット名プレフィックス accounting にマッピングされたロッカー内のユーザー定義資格情報 |
accounting | accounting_pdf_ABCD--user123 | ABCD\user123 |
AWS オートメーション資格情報取得の例
オートメーション資格情報取得を設定し、AWS Secrets Manager と統合するには、最初にロッカーを作成してから、資格情報を作成します。
- ロッカー Credential Vault 内に作成された資格情報を格納するために、Control Room 内に別のControl Roomを作成します。
- 外部キー Vault 内に作成された資格情報を格納するために、ロッカー 内に別のControl Roomを作成します。
Control Room では、同じControl Room内に ロッカー Credential Vault および外部キー Vault の資格情報を格納することはできません。
ロッカーを作成して AWS Secrets Manager と統合するには、次の手順を実行します。
-
Automation 360
Control Room から、 に移動します。
資格情報とロッカーの管理権限を持つユーザーは、資格情報を作成する権限があります。
- [資格情報] タブで [ロッカーを作成] を選択します。
-
ロッカーの名前を入力します (例: Locker3)。
この名前は、Control Room にローカルな名前で、AWS シークレット名に依存するものではありません。
- [外部キー Vault] をクリックし、AWS のシークレット名のプレフィックスを入力します (例: prefixID3)。マッピングの構成を正常に完了するには、AWS Secrets Manager 内で名前のプレフィックスを使用して秘密に名前を付ける必要があります。
- [次へ] をクリックします。
- ロッカーの所有者、マネージャー、参加者、およびコンシューマーを設定します。
- [ロッカーを作成] をクリックします。
「ロッカーを作成」を参照してください。
Control Room は、プレフィックス prefixID3 を持つすべての Azure シークレットについて、資格情報を取得し、アクセス制御を行う準備が整いました。続行するには、資格情報を作成します。
資格情報を作成して AWS Secrets Manager と統合するには、次の手順を実行します。
-
Automation 360
Control Room から、 に移動します。
資格情報とロッカーの管理権限を持つユーザーは、資格情報を作成する権限があります。
- [資格情報] タブで [資格情報を作成] を選択します。
- [資格情報名] フィールドに資格情報名を入力します。
この名前は、Control Room にローカルな名前で、AWS シークレット名に依存するものではありません。
- 名前フィールドの下にある [外部キー Vault] をクリックします。
- 使用可能なロッカーのリストから、適切なロッカー (資格情報に現在マッピングしているシークレットのシークレット名プレフィックスに以前マッピングしていたロッカー) を選択します。
- AWS Secret_Name_Body を [シークレット名] フィールドに入力します (例: Object3)。
- [属性を検証して取得します] をクリックします
システムにより、AWS Secrets Manager から Prefix_Secret_Name_Body の名前の秘密の取得を試行することで、マッピングが検証されます (例: prefixID3_Object3。
検証に失敗した場合、ロッカー (プレフィックス) と資格情報 (Secret_Name_Body) の組み合わせに一致する名前の秘密が AWS Secrets Manager に存在しないことになります。この例では、AWS Secrets Manager に prefixID3_Object3 という名前の秘密がありません。
システムが秘密を正常に取得すると、AWS Secrets Manager の秘密の属性 (秘密内のフィールド) が表示されます。
- 属性のリストから、資格情報にマッピングする属性を選択します。
- [資格情報を作成] をクリックします。
成功すると、資格情報が正常に作成されたことを示すメッセージが表示されます。