23.0 展開の計画

このセクションでは、展開の計画プロセスについて説明し、Azure上にコンテナを展開するために必要な前提条件のリストを提供します。

Identity Managerコンテナ展開プロセスには、以下のAzureリソースが必要です。

  1. Azureアカウントに、インフラストラクチャを作成するための読み書き許可が付与されていることを確認します。

    1. Azure Kubernetes Service (AKS)。

    2. ネットワークの作成。

    3. (オプション) Azure PostgreSQL。

      メモ:これらの要素は、Terraform展開スクリプトで作成されます。

    メモ:展開する前に、リソースが個別であること、およびIdentity Managerの環境設定ファイルがAzureアカウントに対してまだ存在していないことを確認します。

  2. Identity Managerでさまざまなアプリケーションにアクセスするためにドメインを1つ購入します。

    各リソースグループ内に独自のドメインを設定できます。たとえば、「identitymanager.eastus.cloudapp.azure.com」です。

    メモ:この例では、eastusは場所で、cloudapp.azure.comは一般的なAzureサフィックスドメインです。

  3. 任意のCA機関からドメインのSSL証明書(.crtファイルと.keyファイル)を取得します。

  4. (オプション)コマンドラインインタフェースで次のコマンドを実行して、専用の自己署名証明書を生成します。

    openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr

    1. 次のプロンプトの入力を指定します。

      表 23-1

      プロンプト

      説明

      国名(2文字のコード)

      国名を2文字のコードで指定します。

      都道府県名

      都道府県の正式名称を指定します。

      地域名

      市町村名を指定します。

      組織名

      組織名を指定します。たとえば、「Internet Widgits Pty Ltd」です。

      部門名

      部門名を指定します。たとえば、「部署」です。

      共通名

      サーバの完全修飾ドメイン名(FQDN)を指定します。たとえば、「identitymanager.eastus.cloudapp.azure.com」です。

      電子メールアドレス

      電子メールアドレスを指定します。

      チャレンジパスワード

      オプションの会社名

      固有のパスワードを指定します。

      オプションの会社名を指定します。

    2. 次のコマンドを実行して、秘密鍵をRSA形式に変換します。

      openssl rsa -in domain.key -out tls.key

    3. 次の手順を実行して、ルート証明書を取得します。

      1. https://<IP address or Host name>:9000/identityconsole/#/にログインします。

      2. Certificate Management (証明書管理) > Server Certificate Management (サーバ証明書管理)に移動します。

      3. エクスポートをクリックします。

      4. ［証明書］ドロップダウンで、Organizational CA (組織のCA)を選択します。

      5. ［エクスポート形式］ドロップダウンで、BASE64を選択します。

      6. OKをクリックします。

      7. Save the exported certificate (エクスポートされた証明書の保存)をクリックします。

    4. 次の手順を実行して、CSRをCA機関に送信し、署名済みサーバ証明書を取得します。

      1. https://<IP address or Host name>:9000/identityconsole/#/にログインします。

      2. Certificate Management (証明書管理) > Issue Certificate (証明書の発行)の順に移動します。

      3. Choose File (ファイルの選択)をクリックして、ステップ 4.bで生成された<domain>.csrファイルをアップロードします。

      4. Certificate Parameters (証明書パラメータ)ドロップダウンで有効期間を選択します。たとえば、［maximum (最大)］を選択します。

      5. Certificate format (証明書形式)ドロップダウンで、File in Base64 format (Base64形式のファイル)を選択します。

      6. 次へをクリックします。

      7. 指定した入力を確認したらOKをクリックします。

      8. Download the issued certificate (発行された証明書をダウンロードする)をクリックします。

    5. 次のコマンドを実行して、サーバ証明書とルート証明書を連結します。

      cat domain.b64 <(echo) cert.b64 <(echo) > tls.crt

  5. サービスプリンシパル資格情報を生成するには、次の手順を実行します。

    重要:環境設定を生成し、すべての機密情報をAzure Key Vaultにプッシュするには、サービスプリンシパル資格情報が必要です。

    1. Azure portalにログインします。

    2. をクリックします。

    3. ターミナルウィンドウで、次のコマンドを実行します。

      az ad sp create-for-rbac --skip-assignment

    メモ:コマンド出力からappid、パスワード、およびテナントIDをメモします。