Terraform Warpgateプロバイダー：インフラストラクチャへの安全なアクセスを自動化

Warpgateは、インフラストラクチャへの安全なアクセスを提供するスマートなSSHおよびHTTPSバスチオンです。 Terraform Warpgateプロバイダーを使用すると、Warpgateリソースを Terraform によって管理できます。この記事では、プロバイダーのセットアップ方法、リソースの管理方法、便利なデータソースの利用方法について解説します。

Warpgateとは？安全なアクセス管理の重要性

Warpgateは、従来のSSHバスチオンホストの課題を解決します。

• 特権ID管理（PAM）: パスワードローテーション、多要素認証を強制できます。
• 監査: 全セッションを記録し、監査証跡を提供します。
• ポリシーベースのアクセス制御: 承認ワークフローや時間制限を実装できます。

Terraformと組み合わせることで、これらの機能をコードで定義し、自動化されたインフラストラクチャプロビジョニングプロセスの一部としてWarpgateをデプロイできるようになります。

Terraform Warpgateプロバイダー：セットアップと構成

前提条件

• Terraform >= 0.13.x
• Go >= 1.18 (プロバイダーのビルドに必要)
• Warpgate >= 0.13.2

プロバイダーのビルドとインストール

git clone https://github.com/warp-tech/terraform-provider-warpgate.git
cd terraform-provider-warpgate
# プロバイダーのビルド
make build
# プロバイダーのインストール
make install

make install コマンドは、プロバイダーを ~/.terraform.d/plugins ディレクトリ (Windows/macOSの場合は同等の場所) にインストールします。

Terraform構成での定義

プロバイダーを使用するには、Terraform構成ファイルで定義します。

terraform {
  required_providers {
    warpgate = {
      source = "registry.terraform.io/warp-tech/warpgate"
      version = "~> 1.0.0"
    }
  }
}

provider "warpgate" {
  host  = "https://warpgate.example.com"
  token = var.warpgate_token
}

環境変数による設定:

export WARPGATE_HOST="https://warpgate.example.com"
export WARPGATE_TOKEN="your-api-token"

WarpgateリソースのTerraform管理：リソースとその活用

Terraform Warpgateプロバイダーは、様々なWarpgateリソースを管理するための機能を提供します。

主なリソース

• warpgate_role: Warpgateロールの管理（権限グループ）。
• warpgate_user: Warpgateユーザーの管理。
• warpgate_target: Warpgateターゲットの管理 (SSH, HTTP, MySQL, PostgreSQL)。アクセス先を定義します。
• warpgate_user_role: ユーザーへのロール割り当ての管理。
• warpgate_target_role: ターゲットへのロール割り当ての管理。
• warpgate_password_credential: ユーザーのパスワード資格情報の管理。
• warpgate_public_key_credential: ユーザーのSSH公開鍵資格情報の管理。

データソース

• warpgate_role: Warpgateロールに関する情報の取得。
• warpgate_user: Warpgateユーザーに関する情報の取得。
• warpgate_target: Warpgateターゲットに関する情報の取得。

Terraform Warpgate 活用事例：ユーザー、ロール、ターゲットの管理

ユーザーの作成

resource "warpgate_user" "example" {
  username    = "eugene"
  description = "Eugene - WarpGate Developer"

  credential_policy {
    http     = ["Password", "Totp"]
    ssh      = ["PublicKey"]
    mysql    = ["Password"]
    postgres = ["Password"]
  }
}

資格情報の追加

resource "warpgate_password_credential" "eugene_password" {
  user_id  = warpgate_user.example.id
  password = var.user_password
}

resource "warpgate_public_key_credential" "eugene_ssh_key" {
  user_id    = warpgate_user.example.id
  label      = "Work Laptop"
  public_key = "ssh-rsa AAAAB3NzaC1yc2E... [email protected]"
}

ロールの作成と割り当て

resource "warpgate_role" "developers" {
  name        = "developers"
  description = "Role for development team"
}

resource "warpgate_user_role" "developer_role" {
  user_id = warpgate_user.example.id
  role_id = warpgate_role.developers.id
}

SSHターゲットの作成

resource "warpgate_target" "app_server" {
  name        = "app-server"
  description = "Application Server"

  ssh_options {
    host     = "10.0.0.10"
    port     = 22
    username = "admin"

    password_auth {
      password = var.ssh_password
    }
  }
}

ターゲットへのロール割り当て

resource "warpgate_target_role" "app_server_access" {
  target_id = warpgate_target.app_server.id
  role_id   = warpgate_role.developers.id
}

Warpgate Data sources を活用した既存リソースの参照

既存の Warpgate リソースの情報を取得するために、データソースを使用できます。

data "warpgate_user" "existing_user" {
  id = "existing-user-id"
}

data "warpgate_role" "existing_role" {
  id = "existing-role-id"
}

data "warpgate_target" "existing_target" {
  id = "existing-target-id"
}

既存リソースのTerraform管理：インポート機能

既存のWarpgateリソースを Terraform の管理下に置くには、terraform import コマンドを使用します。

terraform import warpgate_user.example user-uuid
terraform import warpgate_role.example role-uuid
terraform import warpgate_target.example target-uuid
terraform import warpgate_user_role.example user-uuid:role-uuid
terraform import warpgate_target_role.example target-uuid:role-uuid
terraform import warpgate_password_credential.example user-uuid:credential-uuid
terraform import warpgate_public_key_credential.example user-uuid:credential-uuid

まとめ： Terraform で Warpgate を管理するメリット

Terraform Warpgateプロバイダーを使用することで、Warpgateの設定をコードとして管理し、インフラストラクチャ構築プロセスの一部としてWarpgateを自動的にデプロイできます。 これにより、安全なアクセス管理を効率的に行うことが可能になります。