AWS 資格情報取得の事例

ブートストラップ、システム、自動ログイン、オートメーションの事例に関する AWS 資格情報を取得することができます。

Control Room ブートストラップ資格情報の取得

注: この事例は、オンプレミスのデプロイにのみ適用されます。

Automation 360 Control Room は、ブートストラップ資格情報を使用して、データベース、サービス アカウント、Active Directory (AD) などのサポート サービスにアクセスします。これらの資格情報は、オンプレミスの初期インストール時、またはインストール後 (キー Vault ユーティリティを使用) に、オブジェクト名を指定することで設定されます。

次の画像は、AWS で Control Room ブートストラップ資格情報を取得するプロセスを示しています。

AWS Control Room ブートストラップ資格情報の取得

ブーストラップ シーケンスや通常操作 (サービス認証の更新など) で必要な場合、Control Room は、キー Vault の接続を使用して資格情報を取得し、必要な認証を実行します。

注: この使用事例では、Microsoft SQL Server 認証を選択する必要があります。他のデータベース認証方法はブーストラップをサポートしていません。

Control Room システム資格情報の取得

注: この事例は、オンプレミス デプロイにのみ適用され、サービス アカウントは初期インストール時にのみ設定できます。

初期インストール時に外部キー Vault を構成した場合、Automation 360 ユーザー インターフェース (インストール後) を使用して、SMTP および Active Directory (AD) の資格情報を設定できます。

  1. Automation 360 Control Room に管理者としてログインします。
  2. Control Room から、次のように移動します。[管理] > [設定] > [E メール設定]
  3. 外部キー Vault から AD プライマリー アカウントの資格情報をマッピングしたり、外部資格情報を設定したり、手動に設定したり (AD プライマリー アカウントの資格情報取得のモードを切り替える) することができます。

自動ログイン資格情報の取得

注: この事例は、オンプレミスクラウドの両方のデプロイに適用されます。

自動ログイン資格情報は、Automation 360 Bot エージェント デバイスの認証とアクティブな Windows セッションの開始に使用されます。ロボティック・プロセス・オートメーション (RPA) が機能するためには、Windows セッションをアクティブにする必要があります。オートメーションがリモート Bot エージェント デバイスから起動した場合、オートメーションが実行される前に自動ログインが実行されます。

次の画像は、AWS で自動ログイン資格情報を取得するプロセスを示しています。

AWS の自動ログイン資格情報の取得

Control Room 管理者は、次の詳細を指定することで、Bot エージェント デバイス上でオートメーションを起動するジョブを手動で起動またはスケジュールできます。

  • オートメーション (Bot) 名
  • デバイス名
  • ユーザー コンテキスト

システムは、ユーザー コンテキストに関連付けられたユーザー名とパスワードを使用して指定されたデバイスに自動ログインを実行し、デバイス上でオートメーションを実行します。

自動ログインの資格情報を外部キー Vault から取得する各 Control Room ユーザーの秘密を用意する必要があります。そして AWS Secrets Manager のシークレット名は、Control Room のユーザー名と一致する必要があります

外部キー Vault からの自動ログイン資格情報の取得を構成するには、次の手順を実行します。

  1. Automation 360 Control Room に管理者としてログインします。
  2. Control Room から、[管理] > [設定] > [デバイス] に移動します。
  3. 自動ログインの設定セクションまでスクロールし、[編集] をクリックします。
  4. 以前に AWS Secrets Manager を外部キー Vault の接続として設定したことがある場合、[有効] をクリックして、その外部キー Vault から自動ログイン資格情報を取得します。

    このオプションが無効な場合、外部キー Vault 接続は構成されません。

    注: 外部キー Vault からの自動ログインを無効にすると、AAI Credential Vault と保存された資格情報を使用して資格情報が取得されます。
  5. AWS Secrets Manager は、組織コンテナを持たないフラットな名前空間であるため、Safe 名を入力する必要はありません。[変更を保存] をクリックします。

成功すると、自動ログイン設定が正常に保存されたことを示すメッセージが表示されます。

自動ログインの命名規則

Control Room は、外部キー Vault 内のオブジェクト命名規則に基づいて、自動ログイン資格情報を取得します。Control Room は、オブジェクト名 (外部キー Vault の資格情報名) が、自動ログインを実行している Control Room ユーザー名と一致するオブジェクトを検索します。

プレフィックス autologin_ は、すべての外部キー Vault の自動ログイン資格情報の命名規則の一部として必要です。CyberArk、AWS、および Azure。外部キー Vault の自動ログイン資格情報の名前には、autologin_ の後に Control Room ユーザー名が続く必要があります。場合によっては、特定のキー Vault には、資格情報オブジェクト名に使用できる文字が制限される場合があります。また、さまざまな使用事例での資格情報のエンコード方法をサポートするために、Automation 360 は、特定の文字を予約したりエンコードしたりすることを要求します。

次の表に、Control Room で想定されるオブジェクトの命名規則の例を示します。

Control Room ユーザー名 想定されるオブジェクト名の形式
ABCD\user123 autologin_ABCD--user123
user123@rpa.abcd.com autologin_user123-40-rpa-2e-abcd-2e-com
注: AD 認証を使用しているオンプレミスのお客様は、UPN 形式または domain\username ポストフィックスを使用して自動ログイン用のユーザー名をフォーマットする必要があります。

自動ログイン資格情報について、以下の点に留意してください。

  • 外部キー Vault のオブジェクト名には、プレフィックスとして autologin_ を含める必要があります。
  • 自動ログイン資格情報名は、取得した資格情報の Control Room ユーザー名 (ログイン ID) にマッピングされる必要があります。

    外部キー Vault によっては、シークレット名 (オブジェクト名) のバックスラッシュ (\) やアットマーク (@) などの特定の文字の使用や、API コール内での特殊文字の使用の解釈について、制限がある場合があります。ユーザー ID に特殊文字が含まれている場合、次の表に示すように、外部キー Vault のシークレット名 (オブジェクト名) は、ASCII コードの文字置換でエンコードする必要があります。

文字 この ASCII コード文字置換の変更点
\ (バックスラッシュ) --
- (ダッシュ) -2d-
_ (アンダースコア) -5f-
@ (アットマーク) -40-
。(ピリオド) -2e-
注: バックスラッシュはダブル ダッシュにマッピングされますが、ダッシュ、ピリオド、アンダースコア、アンパサンドはダッシュで括られた ASCII コードにマッピングされます。

AWS の自動ログイン資格情報の例

この自動ログイン資格情報取得の例では、特定のユーザーとして、デバイスに Bot をデプロイする Control Room ユーザーについて考えてみましょう。この例では、次のような詳細を使用しています。

  • デバイスで実行されるオートメーション (Bot) 名 = ProcureToPayGeoEast
  • エージェント デバイス名 = WinVDI1138
  • エージェント ユーザー コンテキスト = rpauserCR1@abcd.com

次の画像は、AWS で自動ログイン資格情報を取得する例を示しています。

AWS の自動ログイン資格情報の例

オートメーションを開始する前に、次のことを確認してください。

  1. Control Room 接続の詳細が正常に構成されており、Control Room がこれらの接続情報を使用して AWS に接続し、認証を実行している。
  2. Control RoomWinVDI1138 デバイスで実行されている Bot エージェント デバイスにクエリを発行し、デバイス WinVDI1138 に現在アクティブな Windows (オペレーティング システム) セッションがあるかどうか、およびそのセッションがエージェント ユーザー rpauserCR1 に属しているかどうかを確認している。

    ユーザー rpauserCR1 のデバイスに既存のセッションが存在する場合、自動ログインを実行する必要はなく、Bot はデプロイを続行します。

  3. ただし、アクティブなセッションがない場合や、rpauserCR1 に属していないアクティブなセッションがある場合、Control Room は、AWS Secrets Manager から自動ログイン資格情報を取得する。
  4. Control Room が資格情報 (パスワード) を Bot エージェントに渡している。Bot エージェントは、rpauserCR1 の自動ログイン資格情報を使用して、(他のユーザーのログイン セッションからログオフしてから) rpauserCR1 として WinVDI1138 デバイスにログインします。その後、オートメーション (Bot) ProcureToPayGeoEast は、デバイス WinVDI1138rpauserCR1 として実行を開始します。

オートメーション資格情報の取得

注: この事例は、オンプレミスクラウドの両方のデプロイに適用されます。

オートメーション資格情報は、Bot 開発者がオートメーション (Bot) アクション内で使用する変数で、暗号化されたストレージからデータを定義して取得するために使用されます。オートメーションでは、資格情報を使用してアプリケーション (例: 金融アプリケーション) を認証します。オートメーション資格情報は、実行時に Automation 360 Bot エージェントによって取得されます。

次の画像は、AWS でオートメーション資格情報を取得するプロセスを示しています。

AWS によるオートメーション資格情報の取得

AWS Secrets Manager から取得したオートメーション資格情報は、Automation Anywhere Credential Vault でマッピングされます。Credential Vault は、次の 2 種類のオートメーション資格情報をサポートしています。

システム資格情報
資格情報変数によって返される値が、その変数を使用するすべてのオートメーションで同じである資格情報。
ユーザー定義の資格情報
資格情報変数によって返される値が、オートメーションが実行されているユーザー コンテキストに基づいて区別される資格情報。

システム資格情報とユーザー定義の資格情報の両方について、Bot 開発者は Bot コード内で同じ資格情報変数を指定します。次に、システムで、Bot 実行時に取得する資格情報が決定されます。

ユーザー定義の資格情報により、Bot 開発者は単一の資格情報変数を使用してコードを書くことができ、RPA プラットフォームが実行時に返される値をユーザー固有の値に置き換えるため、自動化開発が簡素化されます。開発者は、異なるユーザー固有の資格情報変数を使用して重複したコードの書き込みを回避できます。

次の画像は、AWS 資格情報として想定される命名規則を示しています。

AWS の想定される資格情報

この図は、Control Room Credential Vault で 2 つの資格情報にマッピングすることができる AWS Secrets Manager にある 6 つの秘密を示しています。

  • Object3
  • Object4

たとえば、Control Room 内のロッカーprefixID3 または prefixID4 のどちらかにマッピングできます。次に、シークレットを資格情報にマッピングします。資格情報ごとに、シークレットは、システム定義の 1 つの資格情報 (ユーザー名のポストフィックスなし) およびユーザー定義の 2 つの資格情報 (ユーザー名が User1ID1User1ID2 である Control Room ユーザーにそれぞれ 1 つ) として使用されます (Control Room で取得されます)。

注: Control Room Credential Vault では、ロッカーの名前と資格情報の名前は任意であり、Control Room に対してローカルです。これらの名前を外部キー Vault の特定のシークレットにマッピングします。

AWS Secrets Manager では、各オートメーション資格情報は、ユーザー名を識別するプレフィックス、オブジェクト識別子、任意のポストフィックスなどの特定の識別子を含む名前で格納されます。正しい資格情報を確実に取得するためには、このような命名規則が必要です。AWS Secrets Manager の秘密の名前 (資格情報) は、Automation Anywhere Credential Vault のマッピングに関する情報をエンコードしています。

管理者として、Control Room を AWS Secrets Manager にマッピングするには、次の手順で Automation 360 Control Room の [ロッカーを作成] と [資格情報を作成] の機能の外部キー Vault オプションを使用してロッカーと資格情報を作成し設定します。

  • AWS のシークレット名のプレフィックスにマッピングする Credential Vaultロッカーを構成します。
  • AWS 秘密オブジェクト識別子 (ユーザー定義資格情報の任意のポストフィックス) にマッピングする Credential Vault の資格情報を構成します。

実行時に、RPA プラットフォームは、オートメーションが実行されているユーザー コンテキスト (ユーザー定義資格情報) と一致するポストフィックスを持つ名前のシークレットを取得します。ユーザー定義資格情報がない場合、RPA プラットフォームはユーザー名のポストフィックス (システム資格情報) を使用せずにシークレットを取得します。

Control Room では、ロール内の権限を通じて、外部の資格情報へのアクセス制御を実現します。ロールごとに異なる Control Room ユーザーを割り当て、それらのロールに異なるロッカーを関連付けることで、資格情報へのアクセスを制御します。

次の画像は、AWS の秘密にマッピングされている Control Room Credential Vault ロッカーと資格情報を示します。

Credential Vault へマッピングされた AWS の資格情報
重要: 外部マッピングされた資格情報を作成する場合は、資格情報を適切な外部マッピングされたロッカー (シークレット名のプレフィックスにマッピングされているロッカー) に割り当てる必要があります。AWS のシークレット名には、次の命名規則があります。プレフィックス + Secret_Name_Body + ポストフィックス (ユーザー定義資格情報の場合はオプション) となっています。
注: Control Room 内の同じ権限と特権 (ロールを介して割り当てられる) は、外部キー Vault にマッピングされた資格情報に適用されます。

オートメーションの命名規則

次の表に、オートメーションの命名規則を使用した AWS Secrets Manager 外部キー Vault の例を示します。

注: AWS シークレット名のプレフィックスは、Control Roomロッカーにマッピングされ、AWS 秘密ボディは、Control Room の資格情報にマッピングされます。
オートメーション資格情報の例 AWS プレフィックス AWS シークレット ボディ AWS 内のシークレット Control Room ユーザー名

accounting_pdf

AWS シークレット名プレフィックス accounting にマッピングされたロッカー内のシステム資格情報

accounting PDF accounting_pdf (システム) なし - システム資格情報

accounting_pdf_ABCD--user123

AWS シークレット名プレフィックス accounting にマッピングされたロッカー内のユーザー定義資格情報

accounting PDF accounting_pdf_ABCD--user123 ABCD\user123

AWS オートメーション資格情報取得の例

オートメーション資格情報取得を設定し、AWS Secrets Manager と統合するには、最初にロッカーを作成してから、資格情報を作成します。

注: 資格情報を Control Room Credential Vault および外部キー Vault に保管する場合は、以下を実行することをお勧めします。
  • Control Room Credential Vault 内に作成された資格情報を格納するために、Control Room 内に別のロッカーを作成します。
  • 外部キー Vault 内に作成された資格情報を格納するために、Control Room 内に別のロッカーを作成します。

Control Room では、同じロッカー内に Control Room Credential Vault および外部キー Vault の資格情報を格納することはできません。

ロッカーを作成して AWS Secrets Manager と統合するには、次の手順を実行します。

  1. Automation 360 Control Room から、[マネージ] > [資格情報] に移動します。

    資格情報とロッカーの管理権限を持つユーザーは、資格情報を作成する権限があります。

  2. [資格情報] タブで [ロッカーを作成] を選択します。
  3. ロッカーの名前を入力します (例: Locker3)。

    この名前は、Control Room にローカルな名前で、AWS シークレット名に依存するものではありません。

  4. [外部キー Vault] をクリックし、AWS のシークレット名のプレフィックスを入力します (例: prefixID3)。マッピングの構成を正常に完了するには、AWS Secrets Manager 内で名前のプレフィックスを使用して秘密に名前を付ける必要があります。
  5. [次へ] をクリックします。
  6. ロッカーの所有者、マネージャー、参加者、およびコンシューマーを設定します。
  7. [ロッカーを作成] をクリックします。

    ロッカーを作成」を参照してください。

Control Room は、プレフィックス prefixID3 を持つすべての Azure シークレットについて、資格情報を取得し、アクセス制御を行う準備が整いました。続行するには、資格情報を作成します。

資格情報を作成して AWS Secrets Manager と統合するには、次の手順を実行します。

  1. Automation 360 Control Room から、[マネージ] > [資格情報] に移動します。

    資格情報とロッカーの管理権限を持つユーザーは、資格情報を作成する権限があります。

  2. [資格情報] タブで [資格情報を作成] を選択します。
  3. [資格情報名] フィールドに資格情報名を入力します。

    この名前は、Control Room にローカルな名前で、AWS シークレット名に依存するものではありません。

  4. 名前フィールドの下にある [外部キー Vault] をクリックします。
  5. 使用可能なロッカーのリストから、適切なロッカー (資格情報に現在マッピングしているシークレットのシークレット名プレフィックスに以前マッピングしていたロッカー) を選択します。
  6. AWS Secret_Name_Body を [シークレット名] フィールドに入力します (例: Object3)。
  7. [属性を検証して取得します] をクリックします

    システムにより、AWS Secrets Manager から Prefix_Secret_Name_Body の名前の秘密の取得を試行することで、マッピングが検証されます (例: prefixID3_Object3

    検証に失敗した場合、ロッカー (プレフィックス) と資格情報 (Secret_Name_Body) の組み合わせに一致する名前の秘密が AWS Secrets Manager に存在しないことになります。この例では、AWS Secrets Manager に prefixID3_Object3 という名前の秘密がありません。

    システムが秘密を正常に取得すると、AWS Secrets Manager の秘密の属性 (秘密内のフィールド) が表示されます。

  8. 属性のリストから、資格情報にマッピングする属性を選択します。
  9. [資格情報を作成] をクリックします。

    成功すると、資格情報が正常に作成されたことを示すメッセージが表示されます。