HashiCorp Vault の構成

HashiCorp ボールトを使用して、データベースモニタリング設定用のデータベースログイン情報を保存できます。データベースエージェントは、データベースとの接続を確立するために HashiCorp ボールトに保存されているデータベースシークレットを必要とします。トークンを取得してボールトを認証し、データベースシークレットを取得する必要があります。

サポートされるデータベース

  • Cassandra
  • Couchbase
  • IBM DB2
  • Microsoft Azure SQL
  • Microsoft SQL Server
  • MongoDB
  • MySQL
  • Oracle
  • PostgreSQL
  • SAP HANA
  • Sybase

HashiCorp Vault を使用したデータベースエージェントへの接続

データベースエージェントと HashiCorp Vault 間の接続を確立するには、次の手順を実行する必要があります。

  • Vault のアドレス
  • Vault の HTTPS 証明書（オプション）

データベースエージェントの起動時に、ボールトのアドレスと HTTPS 証明書パスを指定します。

-Ddbagent.hashicorp.vault.url=https://vault.dbmon.com:8200
-Ddbagent.hashicorp.vault.https.cert.path=/Users/user1/works/HashiCorpVault/vault.dbmon.com.pem
注: データベースエージェントは、一度に 1 つの Vault とのみ通信できます。

HashiCorp Vault の構成

コレクタの作成時に以下の詳細を追加します。

  1. Databases > Configuration > Collectors > Add に移動します。
  2. [Database Credentials] の下の [HashiCorp Vault] を選択し、次の詳細を指定します。
    フィールド説明
    認証方式（Authentication Method）

    次のいずれかの方法を選択できます。

    • ASW IAM
    • TLS証明書
    • JWT
    シークレットパスVault 内の secret のパスを指定します。たとえば、 database/cred/mysql-prod
    名前空間名前空間認証とシークレットの取得に使用される Vault の名前空間。

選択した認証方式に基づき、以下の詳細を指定します。

AWS IAM

  • [AWSロール（AWS Role）]：ボールト認証に使用される AWS IAM ロールを指定します。AWS IAM ロールの詳細については、 「AWS 認証方式」を参照してください。
  • [AWSリージョン（AWS Region）]：セキュリティ トークン サービス（STS）エンドポイントアクセスの AWS リージョンを指定します
  • [AWSアクセスキー（AWS Access Key）]：STS 要求署名ヘッダーの AWS アクセスキーを指定します。
  • [AWS秘密鍵（AWS Secret Key）]：STS 要求署名ヘッダーの AWS 秘密鍵を指定します。
  • [認証カスタムマウントポイント（Auth Custom Mount Point）]：（任意）AWS ベース認証のカスタムマウントパスを指定できます。デフォルト値は aws です。

TLS証明書

  • [クライアント証明書ファイルのパス（Client Cert File Path）]：データベースエージェントが実行されているシステムのクライアント証明書ファイルのパスを指定します。Vault認証のために、クライアント証明書ファイルは PEM 形式で、データベースエージェントがアクセスできる必要があります。詳細については、「TLS 証明書の認証方式」を参照してください。
  • [クライアント証明書キーファイルのパス（Client Cert Key File Path）]：クライアント証明書キーファイルのパスを指定します。Vault認証のために、クライアント証明書キーファイルは PEM 形式で、データベースエージェントがアクセスできる必要があります。
  • [認証カスタムマウントポイント（Auth Custom Mount Point）]：（任意）カスタムマウントパスを指定できます。デフォルト値は cert です。

JWT

  • [JWTトークン（JWT Token）]：JWT トークンを指定します。JWT トークンとロールの詳細については、 「JWT 認証」を参照してください。
  • [JWTロール（JWT Role）]：JWT ロールを指定します。
  • [トークンプロバイダー（Token Provider）]：（任意）トークンプロバイダーを指定できます。デフォルト値は jwt です。
    注: Azure 認証メソッドは、OpenID Connect（OIDC）を介してサポートされます。Azure 認証メソッドを使用する場合は、[トークンプロバイダー（Token Provider）] フィールドで oidc を指定してください。