自動化フレームワークの安全な使用

デフォルトのエージェント構成では、すべての アクション・センサー が無効 (オフ) になっています。 アクション・センサーを使用するには、オプトインする必要があります。 アクション・センサーで有効にするエージェントを検討する際には、アクションを実行する必要があるセンサーのみを有効にすることが重要です。

• HTTP、 Ansible、および Issue action センサー：アクション実行の制御拠点として機能させるため、各種類のセンサーに対してエージェントを1つだけ有効にすることを検討してください。
• スクリプト・アクション: 多くのエージェントでスクリプト・センサーを有効にして、ホスト・オペレーティング・システムでスクリプトまたはコマンドを直接実行できるようにすることを検討してください。 この機能を公開しようとしているエージェントに対してのみ、スクリプト・センサーが有効になっていることを確認してください。

意図しないホストまたはシステムでアクションが実行される可能性を制限するために、アクション・センサーを有効にするエージェントを選択します。 また、スクリプト・アクションを実行するためのアクセス権限が制限された 専用ユーザーを作成 します。

• HTTP、 Ansible、および Issue action センサー：これらのセンサーは、サードパーティ（外部）システムと通信してリクエストを実行するように設計されているため、単一の管理拠点として機能する専用のエージェントを使用する必要があります。 専用エージェントを使用すると、自動化フレームワークへの不要なアクセスのリスクを軽減し、アクション・センサーの構成と保守を簡素化することができます。

• スクリプト・アクション: センサーを有効にするのは、ホスト上のシステム・コマンドにアクセスできる可能性があり、安全であるエージェントに対してのみにしてください。

自動化ユーザー権限 を使用して、自動化フレームワークのさまざまな機能に対するアクセス権限をユーザーに選択的に付与します。 ユーザー権限は、 Instana のUIおよび API を通じて利用可能な各種機能へのアクセスを制御するものであり、ほとんどのユーザーに対してはデフォルトで無効になっています。

• 自動化アクションの構成: この権限を持つユーザーは、アクション・カタログからアクションを作成、変更、および削除できます。

  • 2 要素認証 で認証されたユーザーのみが、アクション・カタログに対する書き込み操作を処理できます。 この認証により、検証済みのユーザーのみが、アクション・センサーを介して実行できるアクションを作成または変更できるようにするための追加のセキュリティー層が提供されます。

• 自動化アクションの実行: この権限を持つユーザーは、アクション・タイプに一致するセンサーが有効になっているエージェントでカタログからアクションを実行できます。

• 自動化ポリシーの構成: この権限を持つユーザーは、自動化ポリシーを作成、変更、および削除できます。

• オートメーションアクション履歴の削除：この権限を持つユーザーは、アクション履歴からアクションを削除できます。

この自動化フレームワークを使用する場合、 Instana のUIおよび API からのフレームワークの各種機能へのアクセスは、そのアクセス権限を持つユーザーに限定されます。

スクリプト・センサーでは、ホスト・システム上でスクリプトまたはコマンドを実行するために runAs ユーザー を指定する必要があります。 この目的のために、制限されたシステム・アクセス権限を持つ専用ユーザーを作成します。 関連するオペレーティング・システム機能を使用して、このユーザーの有効範囲を作成および制限します。 このユーザーの制限付きアクセス権限には、以下のものが含まれている

• Instana からのアクション呼び出しに必要なシステムコマンド、インタプリタ、バイナリ、ライブラリ、および実行ファイルのみにアクセスします。

• ファイル・システムの場所 (自動化フレームワーク・スクリプトを正常に実行するために必要なファイルやフォルダーなど) にのみアクセスします。

  • 少なくとも、ユーザーには、スクリプトのセンサー設定で指定された scriptExecutionHome ディレクトリに対する読み取り・書き込み・実行権限のみが必要です。

この自動化フレームワークにおけるスクリプトセンサーの想定される用途には、適切な権限を持つ Instana ユーザーであれば誰でも実行できる、カタログ内のスクリプトアクションが含まれます。 これらの操作を行うために、システムへのアクセス権限が制限された専用ユーザーを作成することで、 Instana から呼び出される操作が、ファイルシステム上の許可されていないコンテンツやバイナリにアクセスするのを防ぐことができます。

自動化フレームワークで必要となる可能性のある機密データは、以下の場所でシークレットマネージャー を使用して管理してください：

• カタログ内の機密 パラメーター 。 パラメータ Vault 型を使用して、実行時に設定済みの Hashicorp Vault からパラメータ値を取得します。 このパラメーター・タイプは、アクションを定義または実行するときに、プレーン・テキストのパスワード、トークン、またはその他の機密データを参照または保管しないようにするために使用します。

• エージェント構成で指定された機密データ。 機密データの指定には、 Windows の runAs ユーザー（スクリプトセンサー）のパスワードや、 Ansible トークン（ Ansible センサー）などのフィールドが含まれます。

Secret Manager を使用してシークレットを管理することで、自動化フレームワークの UI や API を使用する際、平文のパスワードやトークンが漏洩するのを防ぐことができます。 同様に、 Vault を使用することで、エージェントの設定ファイルに平文のパスワードやトークンを記述する必要がなくなります。