従来型フォルダ

Keeperボルトのプライベートフォルダと共有チームフォルダ

概要

プライベートフォルダ、共有フォルダ、サブフォルダは柔軟かつ安全です。管理者の許可があれば、ボルト内でプライベートフォルダおよび共有フォルダを作成できます。ユーザーおよびチームは、Microsoft Entra ID、Okta、Google WorkspaceなどのSCIM連携済みIDプロバイダーから自動プロビジョニングでき、共有フォルダ権限の設定を簡素化できます。チームはKeeper Bridge経由のActive Directory、またはKeeperのAPIからもプロビジョニングできます。

このガイドはKeeperの「従来型」フォルダシステムを対象としています。新しい階層型共有システムについて詳しくは、こちらをご参照ください。

プライベートフォルダ

プライベートフォルダは作成したユーザーのみに表示され、サブフォルダとレコードで構成できます。フォルダ内には、他の共有フォルダや共有レコードを含めることもできます。プライベートフォルダを作成するには、[新規作成] > [フォルダ] をクリックします。ドロップダウンメニューでネスト先を選び、親フォルダを選択するか、[マイボルト] を選んでルートに追加します。

共有フォルダ

共有フォルダは、個別のKeeperユーザー、または管理コンソールで指定したチームのユーザーと共有できます。共有フォルダの権限は、ユーザー、チーム、レコードに適用できます。

共有フォルダを作成するには、[新規作成] > [共有フォルダ] をクリックします。ドロップダウンメニューでネスト先を選び、親フォルダを選択するか、[マイボルト] を選んでルートに追加します。続いてフォルダ名を入力し、ユーザー権限とフォルダ権限を設定します。

チームは、管理コンソールの [管理パネル] および [チーム] タブで [チームを追加] をクリックし、+ のユーザー選択ダイアログでユーザーを選んで手動作成できます。

また、前述のオンボーディング方法 (Active Directory Bridge、SSO、Microsoft Entra ID、SCIM、APIなど) のいずれかでユーザーがチームにプロビジョニングされると、そのチームの共有フォルダと関連レコードを直ちに利用できます。チームから外されると、共有フォルダへのアクセスは取り消され、ボルトからも直ちに削除されます。

Keeperボルト内のユーザーは、Keeper管理者による制限がない限り、プライベートフォルダまたは共有フォルダを作成できます。

レコードの追加とレコード権限の設定

レコードはドラッグアンドドロップでフォルダに追加できます。または [編集] をクリックし、レコード検索バーから追加することもできます。

レコード権限では、フォルダのメンバー (ユーザー) がフォルダ内の各レコードに対して行える操作を制御できます。[レコード] タブで [編集] をクリックし、各レコード名の横のドロップダウンアイコンから設定します。

権限

説明

編集

フォルダ内のユーザーによるレコード編集

フォルダ内のユーザーによるレコード共有

編集と共有

フォルダ内のユーザーによるレコードの編集および共有

閲覧のみ

フォルダ内のユーザーによるレコードの閲覧のみ

ユーザーの追加とユーザー権限の設定

[編集] モードの [ユーザー] タブで、メールアドレス欄をクリックし、共有したいKeeperユーザー (共有管理者を含む) またはチームのメールアドレスを入力します。

続いて、各ユーザーのメール横のドロップダウン矢印をクリックしてユーザー権限を設定します。

共有は一定時間の経過後、または指定日に自動で期限切れにできます。

権限

説明

共有先の管理

フォルダ内の他のユーザーの追加または削除

レコードの追加と削除

フォルダ内のレコードの追加または削除

共有先とレコードの管理

フォルダ内の他のユーザーおよびレコードの追加または削除

管理権限なし

フォルダ内の他のユーザーやレコードに対する権限なし

有効期限

ユーザーまたはチームへの時間制限付きアクセス。期限後にアクセス取り消し

高度な権限コントロール

Keeper管理コンソールでは、ロールベースの強制適用ポリシーで共有機能の利用可否を制御できます。共有と作成の権限を変更するには、対象ロールの [管理コンソール] > [ロール] > [強制適用ポリシー] > [作成と共有] を開きます。

権限

レコードを作成できる

共有フォルダ内でのみレコードを作成できる

レコードを複製できる

フォルダを作成できる

共有フォルダ内でのみフォルダを作成できる

共有フォルダを作成できる

個人情報＆カード情報タブで項目を作成できる

ファイルをアップロードできる

2要素認証コードを作成できる

項目を共有および受信できる

共有フォルダ内へのレコード追加のみで他者へ共有できる

共有された項目の受信のみできる

項目の共有も受信もできない

ワンタイム共有リンクを生成できる

自動消滅レコードを作成できる

編集可能フィールドとファイルアップロード機能付きリンクを作成できる

ファイル添付付きレコードを共有できる

隔離ノード外と共有できる

エンタープライズ外のユーザーと共有できる

エンタープライズ外のユーザーから項目を受け取れる

サブフォルダ

共有フォルダ内にサブフォルダを作成するには、共有フォルダを右クリックして [新規フォルダ] を選択します。レコードはドラッグアンドドロップ、または [編集] からレコード検索バーで追加できます。

共有フォルダ内のレコードを表示している状態で編集アイコンをクリックし、[レコード] タブの「サブフォルダのレコードを表示する」にチェックを入れるとサブフォルダ内のレコードも含めて表示されます。チェックを外すと折りたたまれます。

プライベートフォルダと共有フォルダはどちらもネストでき、レコードやサブフォルダの数に制限はありません。各サブフォルダは親フォルダと同じ権限構造を継承します。

親が共有フォルダで、その中にプライベートフォルダを移動した場合、プライベートフォルダは共有フォルダの権限 (閲覧・編集できるユーザーとレコードを含む) を継承します。

以下の画面では、KeeperPAM Demoフォルダとそのサブフォルダは未共有ですが、KeeperPAM Accounts in US-WEST-1 (California) は共有されています。

アプリケーション

KeeperシークレットマネージャーまたはKeeperPAMをご利用の場合、共有フォルダをシークレットマネージャーアプリケーションにも割り当てられます。アプリケーションはGitHubやGitLabなどのCI/CD基盤を表すほか、KeeperゲートウェイやKeeperコネクションマネージャーで特権セッションを確立するためにも使えます。KeeperPAMについて詳しくは、PAMドキュメントをご参照ください。

デフォルトの共有フォルダ設定

デフォルトの共有フォルダ設定では、フォルダおよびサブフォルダ内のすべてのユーザーとレコードへ、フォルダ権限をまとめて設定できます。共有フォルダの初回作成時に選択しますが、共有フォルダ右上の編集アイコンからいつでも変更できます。

なお、共有フォルダにユーザーやレコードを追加するときに、新しく作成されたレコードはこれらの権限を継承します。

サブフォルダのレコードにも権限変更を適用する場合は、まず [レコード] タブの「サブフォルダのレコードを表示する」にチェックを入れます。

次に [設定] タブを選び、各ドロップダウン矢印でデフォルトの「ユーザー」権限と「レコード」権限を設定します。

任意で「既存の [x] 件のレコードに権限を適用する」にチェックを入れると、既存フォルダのレコードにも変更が反映されます。「すべてのサブフォルダ ([x] 件のレコード) に権限を適用する」にもチェックを入れられます。

デフォルトのフォルダ設定が適切でないと、共有フォルダにレコードを追加しても、他のメンバーからはそのレコードが「閲覧のみ」になります。相手が「レコードの追加と削除」権限を持っていても同様です。フォルダメンバー全員に、フォルダ内の全レコードへの編集権限を与えたい場合は、レコード権限を [編集] に設定します。

[レコードの追加と削除] のユーザー権限は、レコードの追加・削除のみを許可するもので、レコード権限そのものは付与しません。

デフォルトのフォルダ設定を変更しても、影響するのは変更後に追加されたユーザーのみです。変更前に追加済みのユーザー権限を編集するには、個別に変更するか、[ユーザー] タブから一括変更します。

一括変更は、「名前」の横のチェックボックスをオンにし、「権限」ドロップダウンから選択して行います。

フォルダとサブフォルダの管理に関する注意

フォルダと共有フォルダは、レコードとは独立して作成されるオブジェクトです。Keeperのサブフォルダ (ネストフォルダ) は強力かつ柔軟で、エンタープライズ向けに高い暗号化モデルを保ちつつ、ドラッグアンドドロップなど操作性の高い機能も備えています。

フォルダには、プライベートレコード、共有レコード、通常のサブフォルダを含められます。
サブフォルダは共有またはプライベートのいずれにもできます。
フォルダと共有フォルダは無制限に作成できます。
共有フォルダには無制限のサブフォルダを含められ、共有フォルダ配下の各サブフォルダは親の権限を保持します。
フォルダツリーの深さに制限はありません。
フォルダはレコードとレコード参照 (ショートカット) のコンテナです。
共有フォルダは、柔軟なユーザー/チーム共有が可能なレコードのコンテナです。
共有フォルダ内のフォルダとサブフォルダは、共有フォルダの権限を継承します。
共有フォルダ内への共有フォルダの配置は現時点では未対応 (開発中、近日公開予定)

共有フォルダの作成と権限割り当てについては、以下の動画をご覧ください。

コマンダーによるレコード権限の一括変更

コマンドラインSDKツールキットのKeeperコマンダーでは、レコード権限を一括変更できます。コマンダーでは、UIの代わりにCLIで実行できる専用機能を利用できます。 MacまたはPC向けのバイナリは、以下からダウンロードできます。

https://github.com/Keeper-Security/Commander/releases 開発者モードでCLIをインストールする場合は、以下のドキュメントの手順に従ってください。

https://github.com/Keeper-Security/Commander

例: すべてのレコード権限を昇格する

この例では、共有フォルダ内のレコード権限を再帰的に変更します。

(1) ボルトUI、またはコマンダーCLIで共有フォルダUIDを特定します。

コマンダーでは、Bashシェルと同様に ls -l コマンドを使えます。

ボルトUIでは、情報アイコンをクリックして共有フォルダUIDを表示できます。

(2) コマンダーで、--dry-run オプション付きの record-permission コマンドを実行し、内容をシミュレーションします。この例の共有フォルダUIDは -FHdesR_GSERHUwBg4vTXw です。コマンドは以下のとおりです。

record-permission --dry-run --recursive --action grant --can-edit -- -FHdesR_GSERHUwBg4vTXw

共有フォルダUIDがダッシュで始まるため、識別子の前に -- を付けてエスケープしています。

実行すると、以下のような出力になります。

「SKIP」は、レコードの所有者ではないため、コマンダーの現在のユーザーがその変更を行えないことを示します。「GRANT」は実行が許可される変更です。

(3) 実際に実行するには、--dry-run を外します。

ボルトUIでは、対象レコードの権限が「編集」に更新されています。

同じ共有フォルダ内に複数のレコード所有者がいる場合は、それぞれのユーザーが上記のコマンダー操作を実行することで、自身のレコード権限を変更できます。

Keeperの共有管理者機能は、組織の共有フォルダおよび共有レコードに対する管理者のアクセス権を引き上げるロールベースの権限です。

共有管理者について詳しくはこちら

レコードの移動

レコードはフォルダ外、フォルダ内、共有フォルダ内のいずれにも配置できます。複数のフォルダや共有フォルダへリンクすることもできます。リンクされたレコードはショートカットとも呼ばれます。いずれの場合も、リンクされたレコードを変更すると、ショートカットがあるすべての場所に反映されます。

レコードをフォルダへ移動する方法は2つあります。

レコード一覧からドラッグアンドドロップし、表示されたら [移動] を選択する
レコードを右クリックして [移動...] を選択する

共有フォルダへのレコード追加については、以下の動画をご覧ください。

レコードショートカットの作成

レコードを複数のフォルダに追加する (ショートカットを作成する) には、以下のいずれかの方法を使用します。

フォルダを選び [編集] を選択する。[レコードを追加] の検索ボックスでレコードを探し [追加] を選択する。この方法では常にショートカットが追加されます。
レコード一覧からドラッグアンドドロップし、表示されたら [ショートカットの作成] を選択する
レコード一覧のレコードを右クリックして [ショートカットの作成]... を選択する

共有フォルダ内のチーム

チームはKeeper管理者が作成するか、特定のノードまたは組織単位に対する管理権限を付与されたユーザーが作成します。チームはノードまたはサブノード内のユーザーで構成され、作成数に制限はありません。チームは以下の方法でプロビジョニングできます。

Keeper管理コンソールでの手動作成
Active Directory / LDAP Bridgeソフトウェアによる自動プロビジョニング
SCIMによる自動プロビジョニング
KeeperコマンダーSDKによる自動プロビジョニング

暗号化レイヤーでは、チームは公開鍵と秘密鍵のペアを持ちます。ユーザーをチームに追加するには、まず自分がそのチームのメンバーである必要があります (受信者の公開鍵でチーム鍵を暗号化する必要があるため)。受信者がボルトにログインすると、ユーザーの秘密鍵で復号してチーム鍵を取得します。この暗号化処理は、上記のプロビジョニング方法で自動的に行われます。