第7章 ポリシー適用の実装
自動化実行時におけるポリシー適用とは、ユーザーが Ansible Automation Platform インスタンスを操作する方法を制御するポリシーを、エンコードされたルールを使用して定義、管理、適用する機能です。ポリシーの適用によりポリシー管理が自動化され、セキュリティー、コンプライアンス、効率性が向上します。
OPA (Open Policy Agent) は、Ansible インスタンスからポリシーの決定をオフロードするポリシーエンジンです。ポリシー適用機能は、トリガーされると OPA に接続して設定で指定されているポリシーを取得し、自動化コンテンツにポリシールールを適用します。OPA は、ポリシー違反を検出するとアクションを停止し、ユーザーにポリシー違反に関する情報を提供します。
前提条件
Ansible Automation Platform インスタンスでポリシー適用を実装するには、以下が必要です。
- Ansible Automation Platform デプロイメントからアクセス可能な OPA サーバーへのアクセス。
- OPA サーバーに対する認証に必要な設定が行われた設定済みの Ansible Automation Platform。
- OPA、およびポリシーの記述に使用されている Rego 言語に関するある程度の知識。
ポリシー適用を正しく機能させるには、ポリシー設定で OPA サーバーを設定し、特定のポリシーを特定のリソースに関連付ける必要があります。たとえば、特定の組織、インベントリー、またはジョブテンプレートなどのリソースです。
OPA API V1 は、現在 Ansible Automation Platform でサポートされている唯一のバージョンです。
7.1. ポリシー適用設定 リンクのコピーリンクがクリップボードにコピーされました!
グローバル設定を変更することで、Ansible Automation Platform インスタンスが OPA と対話する方法を指定できます。
前提条件
- ポリシー適用を設定するには、管理者特権が必要です。
ポリシー設定で OPA サーバーを設定しないと、ジョブの実行時にポリシー評価が行われません。
手順
-
ナビゲーションパネルから、
を選択します。 - Edit policy settings をクリックします。
Policy Settings ページで、次のフィールドに入力します。
- OPA Server hostname
- OPA サービスに接続するホストの名前を入力します。
- OPA server port
- OPA サービスに接続するポートを入力します。
- OPA authentication type
- OPA 認証タイプを選択します。
- OPA custom authentication header
- OPA 認証のリクエストヘッダーに追加するカスタムヘッダーを入力します。
- OPA request timeout
- 接続がタイムアウトするまでの秒数を入力します。
- OPA request retry count
- リクエストが失敗するまでの、OPA サービスへの接続を試行できる回数を入力します。
認証タイプに応じて、次のフィールドに入力する必要がある場合があります。
認証タイプとしてトークンを選択した場合:
- OPA authentication token
- OPA 認証トークンを入力します。
認証タイプとして証明書を選択した場合:
- OPA client certificate content
- mTLS 認証用の CA 証明書の内容を入力します。
- OPA client key content
- mTLS 認証用のクライアントキーを入力します。
- OPA CA certificate content
- mTLS 認証用の CA 証明書の内容を入力します。
Options という見出しの下に以下が表示されます。
- Use SSL for OPA connection
- OPA サービスへの SSL 接続を有効にするには、このボックスをオンにします。
- をクリックします。