旧バージョンのドキュメントを参照しています。 最新のドキュメントはこちらをご参照ください。

Azure Key Vault

Kong Gatewayの実装の現在のバージョンでは、2つの方法でAzure Key Vaultsの構成をサポートしています。

• 環境変数
• マネージドID認証

Kong Gateway は Secrets Azure Vault タイプのみをサポートします。Keys Vault および Certificates Vault タイプはサポートされていません。

Azure Key Vaultの構成

Kong Gateway はキーを使用して自動的にAzure Key Vault APIを認証し、アクセス権をグラントします。

次の値を指定する必要があります。

• Azure ActiveDirectory テナント ID
• AzureクライアントID
• vault_URI
• Azureクライアントシークレット：この値は環境変数としてのみ構成できます。

Kong Gateway を起動する前に、これらの値を環境変数で設定できます.Instance Managed Identity Tokenを使用している場合は、環境変数を設定する必要はありません。

export KONG_VAULT_AZURE_VAULT_URI=https://my-vault.vault.azure.com
export KONG_VAULT_AZURE_TENANT_ID=tenant_id
export KONG_VAULT_AZURE_CLIENT_ID=client_id
export AZURE_CLIENT_SECRET=client_secret

Azure Vault 経由の Secrets 管理は Azure Instance (VM) および Azure Function App でサポートされています。 Azure Container App では現在サポートされていません

例：

secret-nameという名前でシークレットを使用するには、1 つ以上のプロパティを持つ JSON オブジェクトを Azure Key Vault に作成します。

{
  "foo": "bar",
  "snip": "snap"
}

Azure AD テナント ID、クライアント ID、vault_uri、およびクライアントシークレットを指定する必要があります。 Kong Gateway を起動する前に、環境変数を使用してこれらの値を構成できます。

export KONG_VAULT_AZURE_VAULT_URI=https://my-vault.vault.azure.com
export KONG_VAULT_AZURE_TENANT_ID=tenant_id
export KONG_VAULT_AZURE_CLIENT_ID=client_id
export AZURE_CLIENT_SECRET=client_secret

{vault://azure/secret-name/foo}
{vault://azure/secret-name/snip}

あるいは、vaultsエンティティを介してvaultを構成することもできます。

vaultsエンティティによる構成

データベースが初期化されると、vaultエンティティを作成し、 プロバイダーと必要な Azure Key Vault 情報をカプセル化します。

curl -i -X PUT http://localhost:8001/vaults/azure-key-vault \
  --data name=azure \
  --data description="Storing secrets in Azure Key Vault (Secrets)" \
  --data config.type="secrets" \
  --data config.location="us-east" \
  --data config.vault_uri="http://my-vault-uri.azure.com"

{
    "config": {
        "client_id": null,
        "credentials_prefix": "AZURE",
        "vault_uri": "http://my-vault-uri.azure.com",
        "location": "us-east",
        "neg_ttl": null,
        "resurrect_ttl": null,
        "tenant_id": null,
        "ttl": null,
        "type": "secrets",
        "vault_uri": null
    },
    "created_at": 1696235611,
    "description": "Storing secrets in Azure Key Vault (Secrets)",
    "id": "7c9287c1-2cbc-406b-a013-843fe54dc0b6",
    "name": "azure",
    "prefix": "azure-key-vault",
    "tags": null,
    "updated_at": 1696235611
}

_format_version: "3.0"
vaults:
- config:
    type: secrets
    vault_uri: http://my-vault-uri.azure.com
    location: us-east
  description: Storing secrets in Azure Key Vaults
  name: azure
  prefix: azure-key-vault

Vaultエンティティを配置すると、それを通じてAzureシークレットを参照できます。

{vault://azure-key-vault/secret-name/foo}
{vault://azure-key-vault/secret-name/snip}

Vaultエンティティの設定オプション

サポートツールのいずれかから、次の構成オプションを使用して Vault エンティティを構成します。

• Kong Manager
• Konnect
• Admin API
• 宣言型構成

Kong GatewayにAzure Key Vaultのオプションを構成します。

一般的なオプション：