CyberArk Password Vault の統合
- 最終更新日2023/11/10
CyberArk Password Vault の統合
Automation 360 を統合して、CyberArk Password Vault から資格情報を取得することができます。資格情報は CyberArk Password Vault 内に常駐し、管理、ローテーション、同期のために使用されます。
Automation 360 Control Room を統合するには、CyberArk Central Credential Provider (CCP) API を使用して CyberArk Password Vault に接続します。CyberArk Password Vault との統合や CCP API を使用するために、追加のライセンスは必要ありません。
次のデプロイ方法を使用して、Automation 360 と CyberArk Password Vault を統合することができます。
- クラウド
- オンプレミス
次の図は Automation 360 クラウド のデプロイを示しています。この場合、Control Room は AAI Cloud 上でホストされています。
オンプレミスのデプロイの場合、次をデプロイします。
- お客様の環境内のソフトウェアとしての Control Room。
- お客様の環境内の Bot エージェント (この場合、オートメーションが実行され、お客様のアプリケーションにアクセスできる環境)。
CyberArk Password Vault の統合要件
CyberArk Central Credential Provider のインストール
CyberArk Central Credential Provider を CyberArk サーバーにインストールし、設定する必要があります。「CyberArk Central Credential Provider installation」を参照してください。
X.509 クライアント証明書認証方式を導入する
X.509 クライアント証明書は、クライアント システムがリモート サーバーに認証をリクエストする際に使用するデジタル証明書の一種です。国際的に広く普及している X.509 パブリック キー基盤 (PKI) 規格を使用して、証明書に含まれるユーザー、コンピューター、またはサービス ID にパブリック キーが属していることを検証します。
Automation 360Control Room は、CyberArk CCP API に接続する際に、認証方法としてクライアント証明書を使用します。
この認証方式は安全性が高く、システムのトラストストアを利用してクライアント証明書、サーバー証明書、プライベート キーを保存します。トラストストアは、OS のソフトウェアが提供する証明書の保管場所です。トラストストアには発行元の認証局 (CA) の証明書が格納されています。個々のサーバー証明書をトラストストアにインポートすることができます。ただし、発行元の認証局 (CA) 証明書をインポートする方が効率的です。
次の画像は、証明書ベースの認証の概要を示しています。
- クライアント (Automation 360 Control Room) は、CyberArk AIM サーバー (保護されたリソース) にリクエストを送信します。
- 次に、サーバーはクライアントに証明書を返送することで応答します。
- Automation 360 Control Room は、CyberArk AIM サーバーから送信された証明書を、Control Room トラストストアの公開部分に格納されている信頼済みのサーバー証明書情報と照合して検証することで確認します。
- トラストストアで情報が検証されると、Automation 360 Control Room は証明書を CyberArk AIM サーバーに再送信します。
- CyberArk AIM サーバーは、Automation 360 Control Room が送信した証明書を、AIM サーバーのトラストストアの公開部分に格納されている信頼済みのクライアント証明書情報と照合します。
通常、クライアント証明書 (プライベート キー付き) は、パスワード保護された形式で配布されるため、証明書ファイル (c:\PATH\aaeCyberArkCertificate.p12 などの .p12 形式を使用) には、パスフレーズが必要です。
- クライアントとサーバーは、証明書が検証され次の要件を満たせば、保護されたリソースにアクセスできるようになります。
- Control Room 証明書が CyberArk AIM サーバーによって信頼されている
- Control Room が CyberArk AIM サーバーで証明書を信頼している
- 証明書の件名フィールドが呼び出しシステムの完全修飾ドメイン名 (DNS 名) と一致している
- 証明書の有効期限が切れていない
CyberArk Central Credential Provider API の構成要件
Automation 360 Control Room と CyberArk AIM サーバーをネットワーク接続する必要があります。Automation 360 Control Room は、CyberArk Central Credential Provider (CCP) API を介して CyberArk Password Vault に接続されており、オンプレミス デプロイまたはCloud デプロイの両方に対応します。
CCP API を利用するためには、次の必須パラメーターを設定する必要があります。
- Automation 360 v.20 (On-Premises デプロイでのみブートストラップ資格情報をサポート)
- Automation 360 v.21 以降 (On-Premises デプロイのすべてのブートストラップおよびシステム使用事例、自動ログイン、On-Premises デプロイおよび Cloud デプロイのオートメーション資格証明をサポート)
- Control Room キー Vault には、次の接続の詳細が含まれています。
- CCP API Vault 接続 URL - 例: https://<host:port>/AIMWebService/api/Accounts?
- CCP API AppID – CyberArk AIM サーバーにアプリケーション ID (AppID) を設定する必要があります。次に例を示します。AACompanyControlRoom1。
「CyberArk Password Vault の統合」を参照してください。
- X.509 クライアント証明書とそのプライベート キーは、Automation 360 Control Room に発行され
(Control Room 完全修飾ドメイン名は証明書の [件名:] フィールドにあります)、CyberArk AIM サーバーで認証のために構成されます。例: c:\PATH\aaeCyberArkCertificate.p12
注: .p12 形式が必要です。
CyberArk 資格情報の用語と識別子を確認する
CyberArk と Automation Anywhere は、資格情報を説明し、識別するために異なる用語を使用しています。
説明 | CyberArk | Automation Anywhere |
---|---|---|
資格情報が保存される場所 | オブジェクト | 資格情報 |
キー Vault のプライマリ パーティション | safe (オブジェクトを含む) | ロッカー (資格情報を含む) |
- CyberArk 資格情報はオブジェクトに格納され、各オブジェクトは Safe に収納されています。
1 つの CyberArk インスタンスは複数の Safe を持つことができ、各 Safe はユーザーに対してアクセス制御を行うことができます。
- Automation Anywhere の資格情報はロッカーに格納され、各ロッカーは Control Room ユーザーに対してアクセス制御を行うことができます。
CyberArk は、Safe 名とオブジェクト名で資格情報を識別します。CCP API は CyberArk Safe 名と CyberArk オブジェクト名を使用して CyberArk Password Vault 内の資格情報にアクセスします (資格情報は CyberArk に存在する必要があります)。
次に、CCP API の呼び出しとそれに対応する応答のコード例を示します。
https://<host:port>/AIMWebService/api/Accounts?AppID=BillingApp&Query=Safe=Billing;Object=MonthlyBilling
レスポンス
{
"Content":"",
"PolicyID":"CyberArk",
"CreationMethod":"PVWA",
"Folder":"Root",
"Address":"address tbd",
"Name":"Application-CyberArk-address tbd-vb",
"Safe":"aa_vb_safe",
"DeviceType":"Application",
"UserName":"vb",
"PasswordChangeInProcess":"False"
}
資格情報値やシークレット (パスワードなど) は Content
属性に格納され、ユーザー ID (vb などの Control Room ユーザー名) は、UserName
属性に格納されます。
CyberArk アプリケーション ID の定義
Automation 360 は、CyberArk Central Credential Provider (CCP) API を介して CyberArk Password Vault と統合しています。アプリケーション ID (AppID) は必須の設定パラメーターです。
CyberArk 管理者として、CyberArk Password Vault Web Access (PVWA) インターフェースを使用して、指定された手順に従ってアプリケーション ID を定義し、CyberArk AIM サーバーと Control Room の統合を準備することができます。「CyberArk Password Vault Web Access」を参照してください。
- CyberArk プラットフォームでアプリケーションの管理を許可されたユーザーとしてログインする必要があります (Manage Users 認証が必要)。
- [アプリケーション] タブから、[アプリケーションを追加] をクリックします。
- [アプリケーションを追加] パネルに、次の情報を入力します。
オプション アクション 名前 アプリケーションの一意の名前 (ID) を指定します。 Control Room 名や関数などに基づいた名前を使用することをお勧めします。AACompanyControlRoom1。
説明 識別しやすくするために、アプリケーションの簡単な説明を入力します。 事業主 アプリケーションの事業主の連絡先を入力します。 場所 Vault の階層内のアプリケーションの場所を選択します。 場所を選択しない場合、このアプリケーションを作成するユーザーと同じ場所にアプリケーションが追加されます。
- [追加] をクリックして、新しいアプリケーションを追加すると、そのアプリケーションは [アプリケーションの詳細] ページに表示されます。
- [アプリケーションの詳細] ページで [拡張認証の制限を許可する] チェックボックスを選択すると、1 つのアプリケーションに対して、マシンと Windows ドメイン OS のユーザーを無制限に指定できます。
- [認証] タブで、[追加] をクリックして、新しいアプリケーションに詳細を追加します。
使用可能な認証特性のリストが表示されます。資格情報プロバイダーはこの認証特性を使用して、アプリケーション パスワードを取得する前に検証を実施します。
- 任意: [OS ユーザー] を選択し、アプリケーションを実行するユーザー名を入力し、[追加] をクリックして OS ユーザーを [認証] タブのユーザー リストに追加します。
- [証明書シリアル番号] を選択し、Control Room クライアント証明書のシリアル番号を入力し [追加] をクリックします。
- (Automation 360 推奨): [許可されたマシン] タブで、[追加] をクリックし、IP/ホスト名/DNS アドレスを指定します。これにより、アプリケーションの実行とパスワードのリクエストが許可されます。
CyberArk AIM はこのアドレスを使用して、指定されたマシンから実行されるアプリケーションのみがパスワードにアクセスできるようにします。
- [追加] をクリックして、許可されたマシンのリストに IP アドレスを追加します。
CyberArk Password Vault でアカウントをプロビジョニングする
アプリケーションが機能する前に、既存のユーザー アカウント、または CyberArk Password Vault でプロビジョニングする新しいユーザー アカウントへのアクセス権をアプリケーションに付与する必要があります。
パスワード Safe を使用して、アプリケーションで必要な特権ユーザー アカウントをプロビジョニングします。次のいずれかの方法を使用して、アカウントをプロビジョニングすることができます。
- 手動: 手動でアカウントを 1 つずつ追加し、すべてのアカウントの詳細を指定します。
- 自動: パスワード アップロード機能を使用して、複数のアカウントを自動的に追加することができます。アカウントを自動で追加するには、パスワード Safe で [アカウントを追加] 機能を認証している必要があります。
権限アカウントの追加と管理について詳しくは、「Privileged Access Manager - Self-Hosted」を参照してください。
アプリケーションとパスワード プロバイダーへのアクセス権の設定
CyberArk によってユーザー アカウントがプロビジョニングされた後、アプリケーションと、アプリケーションを提供している CyberArk アプリケーション パスワード プロバイダーの両方へのアクセスを設定する必要があります。
Central Credential Provider がインストールされている場所から、プロバイダー ユーザーとアプリケーション ユーザーを Password Safe (アプリケーション パスワードが保存される場所) のメンバーとして追加します。次のいずれかの方法で、ユーザーを追加することができます。
- [Safe] タブから手動で追加する
- 複数のアプリケーションを追加する場合に、CSV ファイルに Safe 名を指定して追加する
ユーザーを Safe メンバーとして追加するには、[Safe メンバーの追加] ダイアログ ボックスで、これらのアクセス権限を選択した状態でプロバイダーを Safe メンバーとして追加し、[追加] をクリックします。
- アカウントを取得 (アクセス)
- アカウントをリスト (アクセス)
- Safe メンバーを表示 (監視)
アプリケーション (AppID) を Safe メンバーとして追加するには、次の手順を実行します。
- [Safe メンバーの追加] ダイアログ ボックスから、アクセス権限として [アカウントを取得 (アクセス)] を選択した状態で、(AppID) を Safe メンバーとして追加します。
- [追加] をクリックします。
Safe がオブジェクト レベルのアクセスに設定されている場合、プロバイダー ユーザーとアプリケーションの両方が取得するパスワードにアクセスできることを確認します。権限アカウントの追加と管理について詳しくは、「Privileged Access Manager - Self-Hosted」を参照してください。