チーム
Keeperチームであらかじめ定義されたユーザーグループ間で特権アカウントを共有
チームを作成すると、個人を論理的なグループにまとめ、ボルト内のレコード (認証情報、ファイル、シークレットなど) やフォルダを共有できます。管理者はチームを作成し、チームの制限 (編集、表示、パスワードの共有) を設定したうえで、ユーザーをチームに追加します。追加は手動のほか、各種の自動化手法でも行えます。
チームを追加
[チーム]タブに移動し、[+ チームを追加]ボタンをクリックします。ロールと同様に、チームも特定のノードに追加されます。チーム名を入力し、[チームを追加]をクリックして保存します。
チームを編集
[チーム]タブから、編集したいチームを選択します。ここから、名前の変更、レコードの再共有の禁止、レコードの編集の禁止、プライバシー画面の適用などを設定できます。チームが属するノードを変更したり、チームにユーザーやロールを追加することもできます。チームを削除するには[オプション]から[削除]をクリックします。
チーム-ロールマッピング
チームをロールに割り当てることで、IDプロバイダーからチームへのユーザーのプロビジョニングを簡単に行い、チームの割り当てに基づいた特定のロール強制適用ポリシーを自動的に適用できます。
チーム-ロールマッピングの詳細についてはこちらのページをご参照ください。
チームで共有
チームはボルト内の共有フォルダに追加できます。これにより、SCIMやKeeper AD Bridgeを通じて、IDプロバイダから直接ボルトの認証情報の割り当てを効率的に管理できます。
共有フォルダの詳細についてはこちらのページをご参照ください。
チーム単位の制限
チームに様々な制限を設定して、フォルダ単位の権限設定を上書きできます。
レコードの再共有を禁止
この制限を適用すると、チームに共有されたレコードをメンバーが再共有できなくなります。共有フォルダレベルで設定した権限よりも優先されます。
レコードの編集を禁止
この制限を適用すると、レコードの使用と表示はできますが編集はできません。共有フォルダレベルで設定した権限よりも優先されます。
プライバシー画面を適用
プライバシー画面機能では、チーム単位ですべてのパスワードの表示 (伏せ字解除) を制御できます。このポリシーを適用すると、ユーザーインターフェース上でパスワードが表示されなくなり、のぞき見などのリスクを抑えられます。
技術に詳しくないユーザー向けにパスワード表示を制限する用途でよく使われます。なお、伏せ字は表示上の制御にすぎず、パスワードはユーザーのボルトに保管されたままです。API通信やブラウザの開発者ツール経由では引き続きアクセスできます。
プライバシー画面は、Keeperのロールポリシーにおいて、ロール単位やウェブサイトのドメイン単位で設定することもできます。
プライバシー画面機能の詳細については、以下の動画をご覧ください。
ユーザーをチームへ追加
以下の方法でユーザーをチームへ追加できます。
管理コンソールから手動操作
Keeperブリッジ (AD/LDAP用) から自動処理
SCIMプロビジョニング (Microsoft Entra ID、Oktaなど) から自動処理
KeeperコマンダーCLI から自動処理
管理コンソールからユーザーをチームへ追加
[+ ユーザーを追加]ボタンをクリックしてユーザーをチームへ追加します。
チームへ招待済みのユーザーをコマンダーで待機状態にする
Keeperチームへ招待済みのユーザーを待機状態にしたい場合は、Keeperコマンダーの enterprise-team コマンドを使用します。以下の例は、チームへ招待済みのユーザーを追加しています。「待機状態のユーザー」が出力されているのが確認できます。
待機状態のチームとユーザーは、承認キューの手順に従って処理します。
チームのプロビジョニングを自動化
チームは、以下のページで記載されている方法でもプロビジョニングできます。
KeeperコマンダーCLIとSDK
チームとユーザーの承認
チームとチームとユーザーの割り当ては、暗号化された公開鍵と秘密鍵を使用して実行されます。 チームは公開鍵と秘密鍵を持っています。ユーザーをチームに追加するには、ユーザーの公開鍵を使用してチームの鍵を暗号化します。管理コンソールでチームを作成してユーザーをチームに割り当てる場合、管理者は暗号化処理に必要な権限と鍵へのアクセス権を持っているため、すべての暗号化がローカルで行われます。
KeeperブリッジやSCIM APIなどの自動化された方法で作成されたチームとチーム割り当てには、割り当てを完全に作成するために必要な暗号化鍵がありません。そのため、これらのチームと割り当ては「待機」システムに入ります。
待機状態に入ったチームとチームとユーザーの割り当ては、以下の操作のいずれかで処理します。
管理者が管理コンソールにログインする (任意で「完全同期」をクリック)
それぞれのチームのユーザーがウェブボルトまたはデスクトップアプリにログインする
管理者がKeeperコマンダーでteam-approveコマンドを実行する
管理者がKeeperオートメーターサービスをセットアップする
SCIMとコマンダーAPIについては、「チームとユーザーの承認」のページに記載の方法で承認できます。
ADブリッジまたはSCIM管理ノードに関して
ユーザーがエンタープライズ内の特定のノードのSCIMまたはActive Directoryブリッジを通じて管理されている場合は、チーム管理を、IDプロバイダを通じた自動化で行うことをお勧めします。管理コンソールからチームを手動で作成したり編集したりすると、IDプロバイダーに干渉し、同期の問題が発生する可能性があります。
最終更新