認証情報を 1 か所に

プライベートリポジトリ、管理対象ホスト、Ansible Vault パスワードなどのアクセスには、名前付きの Key Store 認証情報を使います。自動化コードと機密でない設定は Git に保存し、テンプレートから必要な認証情報を参照します。スクリプトに値を埋め込むより、再利用と更新が容易です。ただし、そのコードは与えられたアクセスで実行されるため、実行ソースを編集できる人を保護・制限する必要はなくなりません。

いいえ。Ansible Vault は、暗号化された Ansible コンテンツを保護します。タスクテンプレートは、Semaphore の Key Store に保存された Vault パスワードでそれを復号できます。HashiCorp Vault は、Key Store のシークレット向けに Pro が提供する別の外部保存オプションです。このページに記録された事前確認は、HashiCorp Vault への接続ではなく、Ansible Vault のパスワードを使う経路を示しています。外部保存は、運用作業に使う前に使い捨ての認証情報で別途評価してください。

ローカルの Key Store の値は、設定されたアクセスキー暗号化の仕組みでデータベースに保存されます。暗号化設定を正しく設定・保護し、その復旧要件をバックアップ手順に含めてください。保存時の暗号化は設計の一部です。認可された実行は、その認証情報を使用する必要があります。暗号化されたデータベースの値があらゆるコードやエンジニアからアクセス不能になると考えず、サーバー、ランタイム、管理者アクセス、ログを保護してください。

文書化された環境変数とファイルのソースは、リモートランナーでの実行を含め、タスクが鍵を必要とするときに Semaphore サーバーが解決します。ファイルソースは、許可されたシークレットディレクトリの設定と、文書化された値の形式に従う必要があります。後続タスクは、テンプレートを書き換えずに更新済みのソース値を取得できます。ランナーに生の鍵ファイルを置くだけで、このサーバー側ソースの仕組みになるとは考えないでください。

はい。Pro は、外部シークレットソースとして HashiCorp Vault と OpenBao に対応しています。Enterprise では、ほかの対応シークレットマネージャー連携が追加されます。プロバイダーを設定し、値を Git にコミットする代わりに Key Store から認証情報を参照します。認証とシークレットパスはプロバイダーガイドに従い、意図した認証情報でジョブをテストしてください。

テンプレートは、各ジョブに個別のパスワードや鍵を埋め込む代わりに、名前付き認証情報を参照します。認証情報または設定済みの取得元を更新したら、それを参照するリポジトリとインベントリを確認してください。更新後は代表的なタスクをテストし、次の本番定期実行より前に認証失敗を検出できるようにします。

すべての情報が必ずマスキングされるとは考えないでください。Playbook やスクリプトは、機密変数、コマンド引数、API 応答を出力する可能性があります。ログ出力を意識して設計し、ツールに適したシークレット処理オプションを使い、成功時だけでなく代表的な失敗時の出力も確認します。ログやエクスポートした記録へのアクセスは内容に応じて制限してください。値を安全に保存するだけで、実行コードが出力するすべてを制御できるわけではありません。

はい。Key Store の認証情報に名前を付け、リポジトリ、インベントリ、テンプレートがその種類の認証情報を必要とする箇所で選択します。ジョブは Git に個別のコピーを持たず、設定済みエントリーを参照します。対象システムに異なる ID が必要な場合は、別の認証情報を使ってください。タスクテンプレートを見る。