認証情報
フォーム、リポジトリ、シークレットストア、通知チャネルが接続に使うログインを保存します
管理者向けです。AnsibleForms が接続に使うユーザー、パスワード、トークンを追加します。これらは暗号化して保存するか、シークレットストアから読み込みます。
このセクションの内容
仕組み
認証情報 は名前の付いたログインで、 接続 > 認証情報 で追加します。フォームやほかの管理オブジェクトは 名前で認証情報を参照するので、パスワード自体がフォームに現れることはありません。ユーザーとパスワードは、 ENCRYPTION_SECRET で暗号化して AnsibleForms のデータベースに保存するか、認証情報が使われるたびに シークレットストア から 読み込みます。
7.5.0 からは、フォームは 接続 > データベース の データベース を照会し、そのデータベースが接続に使う種類が データベース の認証情報を指定します。 dbConfig で認証情報そのものを指定するフォームも、これまでどおり動作します。
認証情報を変更できるユーザー
7.3.0 からは、接続やサインインが依存している認証情報の追加、変更、削除は管理者だけが行えます。
| 認証情報 | 理由 |
|---|---|
接続の種類： rte 、 awx 、 aap 、 ascender 、 semaphore 、 rundeck 、 jenkins 、 vault 、 cyberark | ランナーやシークレットストアが、アドレスとシークレットをそこから取得します |
サインインの種類： oidc 、 entraid 、 ldap | SSO プロバイダーや LDAP ディレクトリが、それを使ってユーザーをサインインさせます |
| ランナーが指定しているすべての認証情報 | ランナーはそれを使ってサインインし、ランナー自体の変更にも管理者が必要です |
認証情報にアクセスできるほかのユーザーには、これらは読み取り専用で表示されます。こうした認証情報を別のサーバーに向けられるユーザーは、 それを通じて送られるすべてのシークレットを受け取れてしまいます。そのため、このルールはランナーのルールに合わせています。さらに次の三つのルールで、 本来は読めないシークレットにそうしたユーザーが近づけないようにしています。
- 保護された認証情報の指定 ：リポジトリ、通知チャネル、チャットアシスタントの設定など、ほかの場所でこれらの認証情報を 指定できるのは管理者だけです。パスワードをシークレットストアから読み込む認証情報も、種類にかかわらず同じように保護されます。
- シークレットストアの選択 ：認証情報を シークレットストア に向けたり、読み込むストアや参照を変更したりできるのは 管理者だけです。ほかのユーザーも、それらを変更せずにそのまま送り返すか、すべてを空にすることはできます。
- 認証情報の移動 ：ほかのユーザーが、パスワードを入力し直さずに認証情報のログイン先（ホスト、ポート、発行者、テナント、 サーバーのアドレス）を変更すると、保存されているパスワードは消去され、読み込むシークレットストアの参照も消去されます。 これにより、古いシークレットが新しい接続先に送られることはありません。
使用中の認証情報
レコード（7.5.0 からは データベース も含む）が指定している認証情報は、削除も名前の変更もできません。そうしたレコードが何も指さない状態になってしまうためです。 拒否されたときは、その認証情報を使っているレコードの数が示されます。 認証情報のページ の 使用元 タブに一覧が表示されます。 先にそれらを別の認証情報に向けてから、削除または名前の変更を行ってください。