Okta Privileged AccessとGoogle Cloud Platformのワークロードアイデンティティ

PROJECT_ID="YOUR_PROJECT_ID"

ZONE="VM_LOCATION" 

gcloud projects create "$PROJECT_ID" --name="YOUR_PROJECT_ID"

gcloud config set project "$PROJECT_ID"

gcloud services enable compute.googleapis.com iam.googleapis.com

gcloud iam service-accounts create opa-runner-sa \

  --display-name="OPA Runnerサービスアカウント" \

  --project="$PROJECT_ID"

# ランナーVM

gcloud compute instances create runner-vm \

  --zone="$ZONE" \

  --machine-type=e2-medium \

  --image-family=ubuntu-2204-lts \

  --image-project=ubuntu-os-cloud \

  --service-account=opa-runner-sa@${PROJECT_ID}.iam.gserviceaccount.com \

  --scopes=https://www.googleapis.com/auth/cloud-platform \

  --tags=opa-runner

# ターゲットVM

gcloud compute instances create target-vm \

  --zone="$ZONE" \

  --machine-type=e2-medium \

  --image-family=ubuntu-2204-lts \

  --image-project=ubuntu-os-cloud \

  --tags=opa-target

# ランナーからターゲットへの内部SSHアクセスを許可します

gcloud compute firewall-rules create allow-runner-to-target \

  --allow=tcp:22 \

  --source-tags=opa-runner \

  --target-tags=opa-target \

  --project="$PROJECT_ID"

# OPAエージェント通信のために、ターゲットからのアウトバウンドHTTPSを許可します

gcloud compute firewall-rules create allow-egress-opa \

  --direction=EGRESS \

  --allow=tcp:443 \

  --target-tags=opa-target \

  --project="$PROJECT_ID"

# Runner VMにSSHで接続

gcloud compute ssh runner-vm --zone="$ZONE"

# 依存関係とsftクライアントバイナリをインストールします

# リポジトリキーをインストールし、Okta PAMリポジトリを追加します

curl -fsSL https://dist.scaleft.com/GPG-KEY-OktaPAM-2023| gpg --dearmor | sudo tee /usr/share/keyrings/oktapam-2023-archive-keyring.gpg > /dev/null

echo "deb [signed-by=/usr/share/keyrings/oktapam-2023-archive-keyring.gpg] https://dist.scaleft.com/repos/deb $(lsb_release -cs) okta" | sudo tee /etc/apt/sources.list.d/oktapam-stable.list

# リポジトリを更新してSFTクライアントツールをインストールします

sudo apt-get update && sudo apt-get install -y scaleft-client-tools

# 添付されたアイデンティティ証明を確認します

curl -sf -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email"

# 期待される出力: opa-runner-sa@opa-workload-demo.iam.gserviceaccount.com

終了

# ターゲットVMにSSH接続します

gcloud compute ssh target-vm --zone="$ZONE"

# 依存関係とsftdデーモンをインストールします

# リポジトリキーをインストールし、Okta PAMリポジトリを追加します

curl -fsSL https://dist.scaleft.com/GPG-KEY-OktaPAM-2023| gpg --dearmor | sudo tee /usr/share/keyrings/oktapam-2023-archive-keyring.gpg > /dev/null

echo "deb [signed-by=/usr/share/keyrings/oktapam-2023-archive-keyring.gpg] https://dist.scaleft.com/repos/deb $(lsb_release -cs) okta" | sudo tee /etc/apt/sources.list.d/oktapam-stable.list

# リポジトリを更新してSFTサーバーツールをインストールします

sudo apt-get update && sudo apt-get install -y scaleft-server-tools

# 登録構成トークンを保存

sudo mkdir -p /var/lib/sftd

echo "YOUR_ENROLLMENT_TOKEN_HERE" | sudo tee /var/lib/sftd/enrollment.token > /dev/null

# セキュリティのためファイル権限を制限します

sudo chmod 600 /var/lib/sftd/enrollment.token

# デーモンを有効化してステータスを確認する

sudo systemctl enable sftd && sudo systemctl start sftd

sleep 5

sudo systemctl status sftd --no-pager

終了

gcloud compute ssh runner-vm --zone="$ZONE"

#!/bin/bash

#

# OPAワークロードアイデンティティデモスクリプト

# 参照元：Okta Privileged Access - ワークロードアイデンティティの紹介

#

# ─── 環境変数を設定 ───────────────────────────────────────────────

# オーディエンス = OPAアドレス（OPAが想定するaudクレームと一致しなければならない）

AUDIENCE="https://opa-gcp.pam.okta.com"

# JWTを取得するためのGCPメタデータURL

METADATA_URL="http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/identity?audience=${AUDIENCE}&format=full"

# OPAチームとアドレス（sftが環境から読み取る）

export SFT_TEAM="opa-gcp"

export OPA_ADDR="https://demo-opa-gcp-demo.pam.okta.com"

# 名前はOPAダッシュボードで作成したものと完全に一致しなければならない

CONNECTION_NAME="okta-opa-demo"

ROLE_NAME="okta_opa_wr"

# ターゲットサーバー名（OPAに登録されているホスト名）

TARGET_SERVER="target-vm"

# ─── ステップ1：GCPアイデンティティJWTを取得 ────────────────────────────────────────────

echo "------------------------------------------------------------"

echo "ステップ1：GCPメタデータサーバーからJWTを取得"

echo "------------------------------------------------------------"

ID_TOKEN=$(curl -s -H "Metadata-Flavor: Google" "$METADATA_URL" | tr -d '\n\r')

if [[ "$ID_TOKEN" == eyJ* ]]; then

  GCP_JWT="$ID_TOKEN"

  # デコードして有効期間を表示します

  PAYLOAD=$(echo "$GCP_JWT" | cut -d. -f2 | base64 --decode 2>/dev/null)

  EXP=$(echo "$PAYLOAD" | jq -r '.exp')

  ISS=$(echo "$PAYLOAD" | jq -r '.iss')

  EMAIL=$(echo "$PAYLOAD" | jq -r '.email')

  NOW=$(date +%s)

  DIFF=$((EXP - NOW))

  echo "発行者 ：$ISS"

  echo "Eメール    : $EMAIL"

  echo "オーディエンス : $AUDIENCE"

  echo ""

  echo "VALUE OF GCP_JWT:"

  echo "${GCP_JWT:0:80}... (truncated)"

  echo ""

  echo "Success: JWT obtained."

  echo "トークンはあと$DIFF秒（約$((DIFF / 60))分）有効です。"

その他

  echo "エラー：メタデータサーバーからJWTを取得できませんでした。"

  echo "このスクリプトは、サービスアカウントがアタッチされたGCP VMで実行してください。"

  終了1

fi

# sftで使用するためにエクスポート

export GCP_TOKEN="$GCP_JWT"

echo ""

# ─── STEP 2：GCP JWTをOPAトークンに交換 ──────────────────────────────────

echo "------------------------------------------------------------"

echo "STEP 2：OPAでワークロードを認証してOPA_TOKENを取得"

echo "------------------------------------------------------------"

echo "実行："

echo "sft wl authenticate --team $SFT_TEAM \\"

echo "           --connection $CONNECTION_NAME \\"

echo "           --role-hint $ROLE_NAME \\"

echo "           --jwt-env GCP_TOKEN"

echo ""

OPA_TOKEN=$(sft wl authenticate \

  --team "$SFT_TEAM" \

  --connection "$CONNECTION_NAME" \

  --role-hint "$ROLE_NAME" \

  --jwt-env GCP_TOKEN 2>&1 | tr -d '\n\r')

export OPA_TOKEN

if [[ "$OPA_TOKEN" == *"error"* ]] || [[ -z "$OPA_TOKEN" ]]; then

  echo "エラー：OPA_TOKENを取得できませんでした。"

  echo "詳細：$OPA_TOKEN"

  echo ""

  echo "チェックリスト："

  echo "  1. ワークロード接続のステータスが「ACTIVE」（「Draft」ではない）になっていますか？"

  echo "  2. 接続名「$CONNECTION_NAME」は完全に一致していますか？"

  echo "  3. audクレームは「$AUDIENCE」と等しいですか？"

  echo "  4. メールのクレームはWorkload ConnectionのSAと一致していますか？"

  終了1

その他

  echo "成功：OPA_TOKENを取得しました。"

  echo ""

  echo "OPA_TOKENの値："

  echo "${OPA_TOKEN:0:80}... (truncated)"

fi

echo ""

# ─── STEP 3：OPAトークンを使用してターゲットサーバーにアクセス ───────────────────────

echo "------------------------------------------------------------"

echo "ステップ3：sftコマンドでOPA_TOKENをテスト"

echo "------------------------------------------------------------"

echo ""

echo "3a. このワークロードがアクセスできるサーバーの一覧：

sft list-servers

echo ""

echo "3b. rootとして$TARGET_SERVERに接続し、コマンドを実行します：

sft ssh --command "hostname && whoami && date && echo 'Workload access SUCCESS'" \

  "$TARGET_SERVER"

echo ""

echo "------------------------------------------------------------"

echo "完了：ワークロードアイデンティティのデモが完了しました。"

echo "Okta System Logで2つのイベントを確認してください："

echo "  1. トークン交換（認証）"

echo "  2. サーバーへのSSHログイン」

echo "------------------------------------------------------------"

$ bash ~/opa-workload-test.sh