コンソールエージェントの EC2 ユーザーデータからクライアント ID とシークレット ID を削除しても安全ですか？
環境
- NetApp Console
- Amazon Web Services (AWS)
- EC2ユーザーデータ
回答
- はい、AWS NetApp Console Agent の EC2 ユーザーデータに設定されているクライアントシークレットを削除しても安全です。
- この IAM クライアントシークレットは、デプロイ後のテナントにおける NetApp Console Agent の初回登録にのみ使用されます。
パートナーノート
追加情報
セキュリティコンプライアンスのためにクライアントシークレットを削除する必要がある場合は、以下の手順に従ってください。
- NetApp Console Agent VM の EC2 インスタンスを停止します。
- インスタンスが停止したら、「Edit User Data」をクリックします：
- ユーザーデータの内容をすべて削除し、「保存」をクリックします。
- NetApp Console Agent の EC2 インスタンスを起動します。
内部情報
コンソールはエージェント管理API（POST /agents-mgmt/organizations/{orgId}/agents）を呼び出し、エージェントをAuth0に登録します。Auth0はclientIdと clientSecret.
これらの認証情報は EC2 インスタンスのユーザーデータに渡されるため、Service Manager (SM2)は手動ログインやファイル転送なしで、初回起動時にそれらを読み込むことができます。
SM2は値を読み取り、config.jsonに書き込み（クライアントシークレットはenc_clientSecretとして暗号化）、clientId/clientSecretペアを使用してJWTサービストークンを生成し、agent-mgmt PATCH APIを呼び出してコールバックURIを更新し、登録を完了します。
登録が完了すると、OCCMコンテナが起動し（約10～15分）、エージェントが完全に動作するようになります。
エージェント登録プロセスが完了し（監査タイムラインで確認できます）、occmコンテナが起動したら、ユーザーデータを削除できます。
SM2のシークレットはローテーションされません。
SM2は初期プロビジョニング中にユーザーデータからクライアントIDとクライアントシークレットを読み取ると、それらを /opt/application/netapp/service-manager-2/config.json（シークレットは暗号化された形式でenc_clientSecretとして保存されます）に書き込みます。その時点以降、エージェントはAPI呼び出し用のJWTサービストークンを生成するためにのみconfig.jsonを使用し、EC2ユーザーデータを再読み込みすることはありません。