データ環境全体にわたるエンドツーエンドのパスワード保護

既存のIdPを通して認証するだけで、Keeperパスワード管理プラットフォームの全機能にアクセスできます。

• デバイスや搭載OSを問わずにアクセスできるデジタルボルト

• デバイスを問わず自動パスワード生成と自動入力

• あらゆるシステム、ブラウザ、アプリに対応

• ボルトデータのゼロ知識暗号化

このサービスは、どのようなオンプレミスサービスもクラウドサービスも必要とせず、マスターパスワードも使用しません。 設定は、アイデンティティプロバイダとKeeperの管理コンソールの間で直接行います。

ゼロ知識を維持するため、デバイスごとに楕円曲線暗号の公開鍵と秘密鍵のペアが生成されます。 デバイスの秘密鍵で、ユーザーのボルトが暗号化および復号化されます。新しいデバイスにサインインするには鍵交換が必要となりますが、その際にはKeeperプッシュ通知機能を使用するか指定された管理者が承認します。管理者による自動承認は、様々な方法で設定できます。

セットアップ手順

重要: SSOユーザーとプロビジョニングは、ルートノードではない専用ノードに存在する必要があります。これらの手順を始める前に、以下のように新しいノードを作成します。

Keeper SSO Connect Cloudは、以下の3つの手順で導入します。

1. Keeper管理コンソールのプロビジョニングでSSO Connect Cloudインスタンスを作成する

2. SAML IDプロバイダとメタデータを交換する

3. Keeperへの自動プロビジョニングのセットアップやユーザーの手動プロビジョニング

デバイス承認

「デバイス承認」と呼ばれる管理権限により、管理者がデバイス承認を行います。管理者による承認も自動化できます。詳細については、デバイス承認ページをご参照ください。

メリット

管理者の観点から、コスト面、リスク面、労力面において以下のようなメリットがあります。

• セットアップが簡単で、Keeperの既存の管理コンソールの1か所ですべてを管理

• IdPと連携するためのホスト型ソフトウェアが不要

• 追加のサーバー費用が不要

• ソフトウェアへのパッチ適用が不要

• 単一障害点のリスクを排除

• Keeperの高可用性システムによる24時間365日稼働

F5

F5 BIG-IP APMで、Keeperプラットフォーム用の新しいSAML IdPサービスを設定します。 Access Policy (アクセスポリシー) -> SAML -> BIG-IP as IdP (IdPとしてのBIG-IP) -> Local IdP services (ローカルIdPサービス) に移動します。

[Access Policy] (アクセスポリシー) > SAML: BIG-IP as IdP (IdPとしてのBIG-IP) > Local IdP services (ローカルIdP サービス) へ移動します。該当するIdP接続ポイントを選択し、Export Metadata (メタデータをエクスポート) を選択します。

F5 BIG-IP APMから抽出したメタデータファイルをSSO Connect Cloudインスタンスにインポートし、IDPタイプにF5を選択します。

[保存]を選択して設定を保存し、すべての設定が正しいことを確認します。 [メタデータをエクスポート]をクリックして、Keeper SSO Connect Cloudメタデータファイルをエクスポートし、F5 BIG-IP APMの設定に使用します。

これでKeeper SSO Connectの設定は完了です。

Keeper SSOコネクトは、クラウドベースのSAML 2.0サービスで、既存のシングルサインオンやパスワードレスソリューションとスムーズかつ速やかな連携を実現します。また、ゼロ知識のパスワード管理および暗号化技術によって支えられています。Microsoft Entra ID/Azure、Okta、Google Workspace、Centrify、Duo、OneLogin、Ping Identity、JumpCloudなどのSSO IdPプラットフォームに対応しています。

SSOプロバイダに加えて、SAML 2.0がサポートされているパスワードレス認証プラットフォームともスムーズに連携します。

製品ホームページ

IDプロバイダとの互換性

Keeper SSOコネクトはKeeperエンタープライズに含まれており、主要なSSO IDプロバイダに統合できます。

SSOプロバイダに加えて、Duo、HYPR、Trusona、Octopus、Traitware、Veridiumなど、SAML 2.0に対応した主要なパスワードレス認証プラットフォームとも統合できます。

Keeper SSOコネクトが選ばれる理由

ご利用のSSOソリューションをKeeperのパスワードマネージャと組み合わせることで、機能面とセキュリティ面でさまざまな利点があります。

SecureAuthは、セクションと同じ手順で設定できます。SecureAuth環境を設定するには、そのガイドに従ってください。

参考までに、こちらのSecureAuthガイドをご使用ください。

SecureAuthに関して注意すべきその他の重要事項:

• 接続の種類 (Connection Type) セクションで、「POST方式 (By Post）」が選択されていることを確認します。

• 「SAMLアサーションに署名 (Sign SAML Assertion）」と「SAMLメッセージに署名 (Sign SAML Message）」を必ず選択します。

• IdPメタデータのエンティティIDがSecureAuthのSAMLレスポンスと一致することを確認します。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Setup:

1. Rippling管理コンソールにログインします。

1. ログイン後、[Home] (ホーム)にカーソルを合わせて左下の[App Shop] (アプリショップ) をクリックします。

1. App Shopの左上の検索バーでKeeperを検索し、検索結果からKeeperを選択します。

1. Keeperをクリックして選択した後、[Connect Account] (アカウントを接続) をクリックししてSSO設定を始めます。

1. Rippling側のSSOセットアップガイドを進んでセットアップを行います。

1. 以下のページまで進むと、SSOセットアップは完了となりますが、任意でSCIMプロビジョニングをセットアップできます。SCIMプロビジョニングをセットアップする場合は[Continue with API] (APIを続ける) を選択してガイドを進みます。SCIMプロビジョニングをセットアップしない場合は、[Skip for now, visit app] (スキップしてアプリを開く) をクリックします。

ここでユーザーを割り当てて、Ripling環境でどのユーザーがKeeperにアクセスできるかを指定できます。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

前述の管理コンソールの設定セクションは、すべてのSAML 2.0準拠パスワードレスプロバイダに適用されます。 一般的なパスワードレスプロバイダの設定をサポートするために、次のセクションに参考になる画面をいくつか追加しました。

ご利用のパスワードレスプロバイダがこちらに記載されていなくても大丈夫です。 Keeperは、すべてのSAML 2.0 SSOパスワードレス認証製品と互換性があります。 上記のリストにある同様のプロバイダの順を追った説明に従えばよいだけです。設定の流れはほぼ同じになります。

（ご利用のIDプロバイダの設定ガイドを作成された場合は、ぜひ共有をお願いします。こちらに掲載させていただきます）。

SAML 2.0準拠IDプロバイダの設定の前に管理コンソールを設定してきます。個々のIDプロバイダの設定する際の助けとなるよう、以下にガイドをご用意しました。

• Microsoft ADFS

• Amazon AWS

• Auth0

• Entra ID (Azure AD)

• Centrify

• Duo SSO

• F5

• Google Workspace

• JumpCloud

• Okta

• OneLogin

• Ping Identity

• PingOne

• Rippling

• RSA SecurID Access

• SecureAuth

• Shibboleth

• HENNGE

• その他のSAML 2.0プロバイダ

ご利用のIDプロバイダがこちらに記載されていなくても問題ありません。KeeperはすべてのSAML 2.0 SSO IDプロバイダとパスワードレス認証製品と互換性があります。上記のリストから類似のプロバイダがあれば、設定の流れはほぼ同じなので、その設定手順に従って設定してください。

(ご利用のIDプロバイダ用の設定ガイドを作成された場合、共有いただけましたらこちらに掲載させていただきます。)

PingOne

PingOneポータル () にログインします。

PingOneのコンソールメニューから、接続 (Connections) > アプリケーションカタログ (Application Catalog) を選択します。

「Keeper」を検索し、+をクリックして、Keeperパスワードマネージャー (Keeper Password Manager) アプリケーションを追加します。

Keeper管理コンソールから、PingOne SSO Connect Cloudのエントリーを表示し、以下のスクリーンショットに示したKeeper SecurityドメインとKeeper Security識別子をメモします。

前の手順のKeeper Securityドメイン (Keeper Security Domain) とKeeper Security識別子 (Keeper Security Identifier) を入力し、次へ (Next) をクリックします。

デフォルトのマッピングを承諾して、次へ (Next) をクリックします。

PingOneユーザーグループをアプリケーションに追加することもできます。 追加したいグループ (複数可) の隣の+をクリックし、保存 (Save) をクリックして、アプリケーションのセットアップウィザードを完了します。

メタデータをダウンロード (Download Metadata) をクリックします

Keeper SSO Connect Cloud™のプロビジョニングの編集 (Edit) 画面で、IDPタイプとして汎用 (Generic) を選択します。

前の手順でダウンロードしたSAMLメタデータファイルを参照するか、またはSAMLメタデータ (SAML Metadata) セクションにドラッグアンドドロップして、Keeper SSO Connectインターフェースにアップロードしてください。

これでPingOneのKeeper SSO Connect Cloud™エントリーの表示が有効 (Active) になります。

PingOne Keeper SSO Connect Cloud™の設定が完了しました。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

HENNGE SSO設定

1. HENNGE管理者コンソールへログインします。

メニューの[Administration] (管理) タイルをクリックします。

1. [Connected Services] (接続済みサービス) を選択し、[Add Service] (サービスを追加) をクリックします。

[Add New Service] (新規サービスを追加) ページの[Add Service for SSO]で、[Add Service Manually] (手動でサービスを追加) をクリックします。

1. サービス名を「Keeper Password Manager and Digital Vault」など任意の名前に設定し、「UsePrincipleName (UPN)」という値の属性Emailクレームを追加して[Submit]ボタンをクリックします。

これで、手順5のKeeper 側の設定に必要な値がすべて表示されます。右上の[X]をクリックして、このページから一旦離れます。

[Connected Services menu] (接続サービス) メニューで作成したサービス名をクリックし、[Upload Using Metadata] (メタデータを使用してアップロード) ボタンをクリックします。

1. メタデータをアップロードした後、HENNGE Connected Service設定ページに戻り、https://keepersecurity.com/api/rest/sso/ext_login/<SSOID>のようにログインURLを入力します。

ページの一番下までスクロールし、[Save Changes] (変更を保存) ボタンを選択して設定を完了します。

1. 最後に、このコネクタからメタデータをエクスポートしてKeeper SSO Connect Cloud™へインポートします。

[IDPタイプ]を[Generic]に設定し、このファイルを編集画面にドラッグアンドドロップしてKeeper SSO Connect Cloud™ プロビジョニングインターフェイスにアップロードします。

ユーザーの割り当て

HENNGEで、[User list] (ユーザーリスト) ページの [Access Policy] (アクセスポリシー) でユーザーを追加したり、[Access Policy Groups] (アクセスポリシーグループ) ページの[Allowed services] ( 許可されたサービス) の箇所でグループを追加したりできるようになりました。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

設定

1. OneLoginポータルにログインします。

1. 管理 (Administration) を選択して、管理者セクションに移動します。

1. oneloginメニューから、アプリケーション (Applications)、アプリを追加 (Add App) の順に選択します。

検索フィールドでKeeperパスワードマネージャー (Keeper Password Manager) を検索し、検索結果から選択します。

1. Keeperパスワードマネージャーを追加 (Add Keeper Password Manager) 画面で、保存 (Save) をクリックします。

1. 次の手順で、OneLoginからSAMLメタデータをダウンロードします。その他のアクション (MORE ACTIONS) ボタンの下矢印を選択して、SAMLメタデータ (SAML Metadata) を選択します。

Keeper管理コンソールのクラウドSSOコネクトを使用したシングルサインオン (Single Sign-On with SSO Connect™ Cloud) セクションのSAMLメタデータ (SAML Metadata) セクションに、この保存したファイルをドラッグアンドドロップするか、または参照して入力します。

1. Keeper管理コンソールで、ACSエンドポイント (Assertion Consumer Service (ACS) Endpoint) フィールドをコピーします。

1. OneLoginの設定 (Configuration) タブに戻り、Keeper SSO ConnectのACSエンドポイント (Assertion Consumer Service (ACS) Endpoint) フィールドに貼り付け、[保存] (Save) をクリックします。

1. SCIMを使用したい場合は、Keeperのプロビジョニング (Provisioning) タブに戻り、[メソッドを追加] (Add Method) をクリックして、SCIMを選択します。 使用しない場合は、省略して手順12に進みます。

1. 生成 (Generate) をクリックし、URLとトークンをコピーします。

1. 「URL」をSCIMベースURL (SCIM Base URL) に、「トークン (Token）」をSCIMベアラートークン (SCIM Bearer Token) に貼り付けます。

2. Keeper管理コンソールで、SCIMトークンを必ず保存してください。

1. 保存 (Save) をクリックして、連携を完了します。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

JumpCloud

1. JumpCloud管理者コンソールにログインします。

サイドメニューのSSOタブを選択します。

1. 次に、左上隅の + アイコンを選択します。

「SSOアプリケーションを導入する (Get Started with SSO Application）」ページの検索バーで、Keeperを検索します。Keeperアプリケーションの設定 (Configure) を選択します。

1. 次に、Keeperアプリケーションのコネクタページの一般情報 (General Info) セクションで、表示ラベル (Display Label) を設定します。 Keeper Securityパスワードマネージャ

シングルサインオン設定 (Single Sign-On Configuration) で、[メタデータをアップロード (Upload Metadata)] ボタンをクリックします。

1. メタデータをアップロードしたら、JumpCloudのSSO設定ページに戻り、ログインURLをhttps://keepersecurity.com/api/rest/sso/ext_login/<ご利用のSSO IDをこちらに入力> のように入力します。

ページの一番下までスクロールして設定を完了し、[有効化 (activate)] ボタンを選択します。

1. 最後の手順では、このコネクタからメタデータをエクスポートして、KeeperクラウドSSOコネクトにインポートします。

IDPタイプ (IDP Type) を汎用 (GENERIC) に設定し、このファイルを編集画面にドラッグアンドドロップして、KeeperクラウドSSOコネクトのプロビジョニングインターフェースにアップロードします。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Ping Identityの設定

Ping Identityポータルにログインします。

Ping Identityのメニューから、アプリケーション (Applications) を選択します。

次に、アプリケーションを追加 (Add Application) を選択し、新規SAMLアプリケーション (New SAML Application) を選択します。

アプリケーションの詳細 (Application Details) ページで、以下のデータを追加します。

• アプリケーション名 (Application Name): Keeperパスワードマネージャー (Keeper Password Manager) アプリケーションの詳細 (Application Detail): パスワードマネージャー&デジタルボルト (Password Manager and Digital Vault) カテゴリ (Category): コンプライアンス (Compliance)（またはその他） 画像 (Graphic): Keeperの画像をアップロード[こちら]

続いて、次の手順に進む (Continue to Next Step) を選択します。

次の手順で、Ping IdentityからSAMLメタデータをダウンロードします。SAMLメタデータ (SAML Metadata) の隣のダウンロード (Download) リンクを選択します。

saml2-metadata-idp.xmlファイルがローカルコンピュータにダウンロードされます。 KeeperクラウドSSOコネクトのプロビジョニング編集 (Edit) 画面で、IDPタイプに汎用 (Generic) を選択し、saml2-metadata-idp.xmlファイルを参照するか、または設定画面にドラッグアンドドロップして、Keeper SSO Connectインターフェースにアップロードします。

設定画面

次に、Keeperのメタデータファイルをダウンロードし、Pingアプリケーションの設定にアップロードします。 KeeperクラウドSSOコネクトのプロビジョニングの表示画面に移動します。

「メタデータをエクスポート (Export Metadata）」ボタンをクリックして、config.xmlファイルをダウンロードします。

Ping Identityアプリケーションの設定に戻って、ファイルを選択 (Select File) ボタンを選択し、上記の手順でダウンロードしたconfig.xmlを選択します。

次の手順に進む (Continue to Next Step) を選択します。

次の手順で、属性をマッピングします。新規属性を追加 (Add new attribute) ボタンを選択します。

• 属性1では、アプリケーション属性 (Application Attribute) 列に「名 (First)」と入力し、IDブリッジ属性またはリテラル値 (Identity Bridge Attribute or Literal Value) 列でファーストネーム (First Name) を選択して、必須 (Required) ボタンをチェックします。新規属性を追加 (Add new attribute) ボタンを選択します。

• 属性2では、アプリケーション属性 (Application Attribute) 列に「姓 (Last)」と入力し、IDブリッジ属性またはリテラル値 (Identity Bridge Attribute or Literal Value) 列でラストネーム (Last Name) を選択して、必須 (Required) ボタンをチェックします。新規属性を追加 (Add new attribute) ボタンを選択します。\

• 属性3では、アプリケーション属性 (Application Attribute) 列に「メール (Email)」と入力し、IDブリッジ属性またはリテラル値 (Identity Bridge Attribute or Literal Value) 列でメール (Email) を選択して、必須 (Required) ボタンをチェックします。 アプリケーション属性: 名、姓、メールは大文字で始まる必要があります。

Keeperアプリケーションへのアクセスが必要なグループを選択します。 完了したら、「次の手順に進む (Continue to Next Step)」をクリックします。 設定内容を確認してから、完了 (Finish) ボタンを選択します。

Keeperアプリケーションが追加されて、有効になっているはずです。

これでKeeper SSO Connectの設定は完了です。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

CloudGate SSOの設定

1. CloudGate管理者コンソールへログインします。

[Admin Site]のタイルをクリックします。

1. 左側のメニューから[設定] > [サービスプロバイダー]を選択し、[サービスプロバイダー追加]をクリックします。

「サービスプロバイダー追加」ページの検索バーで「Keeper」を検索します。「Keeper SSO Connect Cloud」のアイコンを選択してクリックします。

1. 「一般設定」タブの「表示名」を「Keeper_SSO_Cloud_Connet」など任意の名前に設定します。

1. 「シングルサインオン設定」タブで、「エンティティID」などの情報が必要になりますので、Keeper管理コンソールを開いてコピーします。

コピーした「エンティティID」などの情報をCloudGateのシングルサインオン設定ページに貼り付けます。

1. 「追加属性」で[追加]をクリックし、「フィールド名」を「Email」に「値」を「${MAIL_ADDRESS}」に設定して保存します。

シングルログアウトを有効にする (任意)

CloudGateでシングルログアウト機能を有効にする場合は、「シングルサインオン設定」タブに移動して「ログアウトURL」を入力してから、Keeper管理コンソールから取得したSP証明書をアップロードします。

SP証明書をダウンロードするには、Keeper管理コンソールでSSO設定ページを表示し、[SP 認証エクスポート]ボタンをクリックします。

次に、「シングルログアウト (SLO) エンドポイント」情報をコピーして、CloudGateのシングルサインオン設定ページに貼り付けます。

1. 最後に、「シングルサインオン設定」タブの「SMAL 2.0 メタデータ」からメタデータをダウンロードして、KeeperクラウドSSOコネクトへインポートします。

Keeper管理コンソールへ戻り、作成したクラウドSSOコネクトによるSSO設定の編集画面に入ります。「IDPタイプ」を「GENERIC」に設定し、ファイルを「ここにファイルをドロップしてください」と書かれた箇所へドラッグアンドドロップします。

ユーザーの割り当て

CloudGateの左側のメニューの「アカウント管理」 > 「ユーザー」へ移動し、任意のユーザーをクリックします。「ユーザー管理」ページの「ユーザー設定」タブでユーザーを追加できるようになっています。

同じページの「ユーザーID」の下の[さらに表示する]をクリックして「メールアドレス」の値が入っていることを確認します。

[保存]をクリックして、KeeperクラウドSSOコネクトとCloudGateの設定を完了します。

CloudGate SCIMプロビジョニング

CloudGate SCIMユーザーとグループのプロビジョニングを有効にする方法については、Keeperエンタープライズガイドのをご参照ください。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Keeper SSO Connect Cloud™の設定は非常に簡単で、これまでに他のサービスプロバイダにご利用のIdPを設定した経験があれば数分しかかかりません。以下の手順に従ってください。

1) Keeper管理コンソールからKeeper管理者としてログインします。 US: EU: AU: CA: JP: US GovCloud:

2) ログイン後、[管理者]メニューをクリックして、[ノードを追加]を選択します。この新しく作成するノードでSSOユーザーにプロビジョニングします。

3) 新しいノードで[プロビジョニング]タブを選択し、[メソッドを追加]をクリックします。

4) [SSO Connect Cloudを使用したシングルサインオン]を選択して[次へ]を選択します。

5) 環境設定名と法人ドメインを入力します。 環境設定名はエンドユーザーには表示されませんので、複数の設定を管理できます。 法人ドメインはログインに使用されるため、一意で覚えやすい名前を選択することを推奨します。

• 環境設定名 内部でのみ使用され、ユーザーには表示されません。

• 法人ドメイン 特定のフローで認証する場合にユーザーが入力します。ドメイン名か任意の固有の文字列となります。

• ジャストインタイムプロビジョニングを有効にする ユーザーがKeeper Enterpriseテナントに自らサインアップできるようにするには、ジャストインタイムプロビジョニング機能を有効にします。デフォルトでは有効になっています。ドメインが予約されている場合、ドメイン名を持つ新しいユーザーは、ジャストインタイムプロビジョニングによって自動的にSSOプロバイダにルーティングされるようになります。 ジャストインタイムSSOプロビジョニングの代わりにKeeper Bridgeを使用してユーザーをプロビジョニングする場合は、OFFにしてください。

6) [保存]をクリックして次の手順に進むと、設定の編集画面が自動的に開きます。

7) 設定の編集画面で、ご利用のIdP (または「汎用」) を選択してそのIDプロバイダからKeeperにメタデータファイルをアップロードし、3つの必須属性マッピングを設定します。なお、KeeperはあらゆるSAML 2.0準拠IDプロバイダと連携しています。

ここではさらに2つのオプションがご利用になれます。

• IsPassiveを有効化: IdPから要求されない限り、オフのままにすることを推奨します。

• ForceAuthn: Keeperボルトへログインする度に新しいSSOログインセッションを強制したい場合にオンにします。

• アイデンティティプロバイダ 一般的なIDプロバイダの設定をご利用になれるようして手間を省くために、ドロップダウンの[IDPタイプ]から事前に定義された設定を選択できます。ご利用のIDプロバイダが一覧にない場合は、[GENERIC]を選択してください。

• SAMLメタデータ IdPから取得したIdPメタデータファイルをKeeperの設定画面にドラッグアンドドロップします。 このファイルには、URLエンドポイントと署名付きアサーションを検証するためのデジタル証明書が含まれます。

• アイデンティティプロバイダ属性マッピング 名前、苗字、メールアドレスの呼称がデフォルトで[First]、[Last]、[Email]となっていますが、変更は可能です。ご利用のIDプロバイダが、記載通りに（大文字と小文字を区別して）この画面のフィールド名にマッピングしていることを確かにしてください。

• シングルサインオンエンドポイント環境設定 こちらは詳細設定で、デフォルトでは[HTTP POSTを優先]となっています。

8) IdPの設定の途中で、Keeperから法人IDやACS URLなどのパラメータを入力する必要があります。 この情報は、前の画面に戻って[表示]をクリッすると表示される設定表示画面で確認できます。

この画面に表示されているURLをメモしておいてください。これらURLをIDプロバイダ内に設定する必要がある場合があります。

• エンティティID 「SPエンティティID (SP Entity ID)」または「発行者 (Issuer)」と表記される場合もあります。基本的には、固有の識別子で双方が認識されてている必要があります。多くの場合、エンティティIDはACS URLエンドポイントと同じです。

• Assertion Consumer Serviceエンドポイント (ACS URL) ユーザーの認証後にIDプロバイダがアサーションを送信するKeeperのURLエンドポイントです。 Keeperに送信されるデータには、ユーザーがIDプロバイダに正常にサインインしたかどうかを示す署名付きアサーションが含まれます。このアサーションは、IDプロバイダの秘密鍵で署名されています。 Keeperで、IdPメタデータファイルに含まれるIDプロバイダの公開鍵を使用して署名が認証されます。

• シングルログアウトエンドポイント (SLO) KeeperのURLエンドポイントで、IDプロバイダによるログアウトリクエストの送信先となります。シングルログアウトは任意でご利用になれ、IDプロバイダで設定します。

この情報は、Keeper XMLメタデータファイルでも確認できます。このファイルは、[メタデータをエクスポート]をクリックすることでダウンロードできます。必要に応じてこのメタデータファイルをIDプロバイダにアップロードしてください。

ドメイン予約とジャストインタイムプロビジョニング

ジャストインタイムプロビジョニングを有効にすると、ボルトのログイン画面でユーザーがメールアドレスを入力して[次へ]をクリックした際に、ユーザーがIDプロバイダに自動的にルーティングされます。これは、ウェブボルト、デスクトップアプリ、ブラウザ拡張機能、iOSアプリ、Androidアプリなど、すべてのデバイスに適用されます。

Keeperではパーソナルドメインのリストを保持していますので、たとえば、gmail.comやyahoo.comなどを予約して、一般ユーザーが実在を確認済みのメールアドレスを使用してこれらのドメインのKeeperアカウントを作成することはできません。

企業テナント外で予約済みドメインを使用した個人アカウントまたは企業アカウントの作成をエンドユーザーに許可したい場合は、Keeperサポートチームにお問い合わせください。ご希望のドメインのロックを解除いたします。

Auth0 SSOの設定

Auth0ポータルの管理者セクションにログインします。

[Applications] (アプリケーション) タブを選択し、[Create Application] (アプリケーションを作成) をクリックします。[Regular Web Applications] (通常のウェブアプリケーション) を選択します。

次に、[Addons] (アドオン) タブに移動して、[SAML2 WEB APP] (SAML2ウェブアプリ) をクリックします。

次に表示される設定ページで、Keeper管理コンソールに表示された[Assertion Consumer Service（ACS）エンドポイント]が必要になります。

ACSエンドポイントの例: https://keepersecurity.com/api/rest/sso/saml/XXXXXXXX

この値は、以下のようにサービスプロバイダの情報の一部としてSSO Connect Cloudの設定で確認できます。

ACSエンドポイントをAuth0画面の[Application Callback URL] (アプリケーションコールバックURL) フィールドに貼り付けます。

次に、SAML2 Web App編集ウィンドウでサンプルのJSONを削除して以下に置き換えます。

「audience」の値は法人IDとなります。この値もサービスプロバイダ情報の一部として、SSO Connect Cloudの設定で確認できます。

法人IDを追加した後、[Debug] (デバッグ) ボタンをクリックして、設定に問題がないことをご確認ください。

次に、SAML2 Web Appウィンドウを一番下までスクロールして、[Save] (保存) をクリックします。

次に、[Usage] (使用) タブをクリックし、IDプロバイダのメタデータファイルをダウンロードします。

Keeper側でSSOの設定を編集し、[IDP タイプ]に[GENERIC] (汎用) を選択します。metadata.xmlファイルを参照するか設定画面にドラッグアンドドロップして、Keeper SSO Connectインターフェースにアップロードします。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Centrify

クラウドログインを使用して、CentrifyのAdmin portal (管理者ポータル) にログインします。

プルダウンメニューからAdmin portal (管理者ポータル) に切り替えます。

Quick Start Wizard (クイックスタートウィザード) がポップアップ表示された場合は、閉じます。メニューから[Apps] (アプリ) を選択し、[Add Web Apps] (ウェブアプリ) を選択します。

Add Web Apps (ウェブアプリを追加) ウィンドウで、[Custom] (カスタム) タブを選択し、下にスクロールしてSAMLの横の[Add] (追加) を選択します。

Do you want to add this application? (このアプリケーションを追加しますか？) のプロンプトで[Yes] (はい) を選択します。

Add Web Apps (ウェブアプリを追加) ウィンドウを閉じます。

次に、KeeperのSSOメタデータをCentrifyにアップロードします。 Keeper管理コンソールで、SAMLメタデータファイルをエクスポートします。

[表示]をクリックして[メタデータをエクスポート]に移動します。

Centrifyの[SAML Application Settings] (SAMLアプリケーション設定) セクションで、[Upload SP Metadata] (SPメタデータをアップロード) を選択します。

[Upload SP Metadata from a file] (ファイルからSPメタデータをアップロード) を選択し、[Browse]をクリックしてKeeperSSOMetadata.xmlファイルを選択し、[OK]を選択します。

Identity Provider SAML Meta data (IDプロバイダのSAMLメタデータ) をダウンロードします。これをKeeper SSO Connectにアップロードします。

Description (説明) セクションで、Application Name (アプリケーション名) フィールドにKeeper SSO Connectと入力し、Category (カテゴリ) フィールドで[Security] (セキュリティ) を選択します。

Keeperのロゴをダウンロードします。 [Select Logo] (ロゴを選択) を選択して、Keeperのロゴ (keeper60x60.png) をアップロードします。

[User Access] (ユーザーアクセス) セクションで、Keeperにアクセスできるロールを選択します。

Account Mapping (アカウントマッピング) セクションで、「Use the following Directory Service field to supply the user name」 (以下のディレクトリサービスを仕様してユーザー名を供給する) を選択して「mail」と入力します。

Advanced (詳細設定) セクションで、以下のコードを含むスクリプトを追加します。

• 上記のスクリプトで、User Account (ユーザーアカウント) セクションから表示名を読み取ります。FirstName属性は、DisplayNameの最初の文字列から取得し、LastName属性は、DisplayNameの2番目の文字列から取得します。

[Save] (保存) を選択して設定を完了します。

ファイルを編集画面にドラッグアンドドロップして、Identity Provider Metadata (IDプロバイダのSAMLメタデータ) ファイルをKeeper SSO Connect Cloudインスタンスのインターフェースにアップロードします。

アップロードが完了すると、画面をひとつ戻ります。 SSO連携をテストする準備ができました。

リモートのオートメーターサービスと通信できない

Keeperコマンダーがオートメーターサービスと通信できない理由はいくつかあります。

• オートメーターサービスがKeeperのIPアドレスに対して解放されていることを確かにします。解放が必要なIPのリストについては、イングレス要件のページをご参照くださす。接続の問題が発生した場合に解決できるよう、ご自身のIPアドレスも追加することを推奨します。

• カスタムSSL証明書をご使用の場合は、SSL証明書がロードされていることを確かにします。オートメーターのログファイルを確認すれば、サービスの再起動によって証明書がロードされたかどうかが確認できます。そのIPアドレスにアクセスできる場合は、以下のようにコマンドラインでcurlを使用することで正常性チェックを実行できます。 curl https://automator.mycompany.com/health

• 証明書のサブジェクト名がFQDNと一致することを確認します。

• SSL証明書にCA中間証明書チェーンが含まれていることを確認します。中間証明書チェーンが欠落している場合、Keeperはオートメーターへの接続を拒否します。以下のようにopensslコマンドを使用してご確認ください。

openssl s_client -showcerts -servername automator.company.com -connect automator.company.com

このコマンドで、チェーン内の証明書の数が表示されます。証明書が1つしか表示されない場合は、証明書チェーンがすべてはロードされていないということになります。この問題を解決するには、証明書作成の手順ページの手順4をご参照ください。

ヘルスチェックでの400エラー

当エラーは、ヘルスチェックのリクエストURIがSSL証明書ドメインと一致しない場合に発生する可能性があります。ヘルスチェックを完了させるにはサービスでSNIチェックを無効にする必要がありますので、オートメーター設定でdisable_sni_check=trueを設定するか、環境変数 DISABLE_SNI_CHECKにtrueの値を渡します。

Okta SSOの設定

Oktaポータルの管理者セクションにログインします。

左側のメニューから[Applications] (アプリケーション) を選択して、[Browse App Catalog] (アプリカタログを見る) をクリックします。

Keeperパスワードマネージャー (Keeper Password Manager) を検索し、Keeperパスワードマネージャ&デジタルボルト (Keeper Password Manager and Digital Vault) アプリケーションの[追加] (Add) ボタンを選択します。

次に表示される全般設定 (General Settings) ページで、Keeper管理コンソールに表示された「Entity ID」が必要になります。

サーバーベースURLの例: https://keepersecurity.com/api/rest/sso/saml/XXXXXXXX

XXXXXXXXの値は、ユーザーの企業に関連付けられた特定のSSO Connectインスタンスを表し、以下に示すように、サービスプロバイダ情報の一部として管理コンソールのSSO設定で確認できます。

Okta画面のベースURL (Base URL) フィールドにエンティティIDを貼り付けます。

次に、サインオン (Sign On) タブを選択します。

SAML署名証明書の設定セクションまで下にスクロールし、アクション (Actions) > IdPメタデータを表示 (View IdP metadata) を選択します。

表示されたXMLファイルをコンピュータに保存します。Chrome、Edge、Firefoxで、ファイル (File) > 名前を付けてページを保存... (Save Page As...) を選択して、metadata.xmlファイルを保存します。

Keeper側でSSO設定を編集して、IDPタイプにOKTAを選択し、metadata.xmlファイルを参照するか、または設定画面にドラッグアンドドロップして、KeeperクラウドSSOコネクトインターフェースにアップロードします。

(オプション) シングルログアウトを有効化

Oktaでシングルログアウト機能を有効にしたい場合は、サインオン (Sign On) タブに移動して、編集 (Edit) をクリックします。 「シングルログアウトを有効化（Enable Single Logout）」チェックボックスをクリックし、Keeper管理コンソールに表示されたSP証明書をアップロードします。

まずSP証明書をダウンロードするために、KeeperでSSO設定を表示し、SP証明書をエクスポート (Export SP Cert) ボタンをクリックします。

SP証明書ファイルをアップロードし、[保存] (Save) を必ずクリックして、サインオン設定をOktaに保存してください。

[Actions]メニューから、[View IdP metadata]を選択します。

表示されたXMLファイルをコンピュータに保存します。Chrome、Edge、Firefoxで、ファイル (File) > 名前を付けてページを保存... (Save Page As...) を選択して、metadata.xmlファイルを保存します。

Keeper管理コンソール側でSSO設定を編集してから、新しいmetadata.xmlファイルを参照するか、セットアップ画面にドラッグアンドドロップして、Keeper SSO Connectインターフェースにアップロードします。

Okta SCIMのプロビジョニング

Okta SCIMのユーザーおよびグループのプロビジョニングを有効にするには、のエンタープライズガイドに記載されている手順に従ってください。

ユーザーの割り当て

Oktaから、割当 (Assignments) ページでユーザーまたはグループを追加できるようになりました。 の手順に従ってSCIMプロビジョニングを有効化すると、ユーザーは即座にKeeperにプロビジョニングされます。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

TrusonaとKeeperを連携させる

Keeper管理者としてKeeper管理コンソールへログインします。

https://keepersecurity.com/console (米国/グローバル) https://keepersecurity.eu/console (EUでホストされているお客様) https://keepersecurity.com.au/console (AUでホストされているお客様) https://govcloud.keepersecurity.us/console (GovCloudのお客様)

1. [管理者]タブをクリックし、[ノードを追加]をクリックします。

2. ノードに名前を付け、[ノードを追加]をクリックします。

1. [プロビジョニング]タブで[メソッドを追加]をクリックします。

2. [SSO Connect® Cloud を使用したシングルサインオン]を選択して、[次へ]をクリックします。

3. [環境設定名]と[法人ドメイン]を入力して、[保存]をクリックします。後で法人SSOログインに使用するので、法人ドメインをメモしておきます。

1. Cloud SSO Connectを使用したSAML 2.0プロビジョニングメソッドが新規作成されて表示されます。メニューから[表示]を選択します。

1. 法人ID、ACSエンドポイント、シングルログアウトサービスエンドポイントをメモしておきます。

2. [SP 認証エクスポート]をクリックします。

Trusona側の設定

1. iOSまたはAndroid用のTrusonaアプリを使用して、モバイル端末からQRコードをスキャンし、Trusonaのダッシュボード (https://dashboard.trusona.com/) にログインします。

TrusonaでKeeperとの連携を作成

1. Trusonaアカウントのダッシュボードで、左側のナビゲーションからKeeperを選択します。

2. [Create Keeper Integration] (Keeperとの連携を作成) をクリックします。

3. 連携に名前を付け、[Save] (保存) をクリックします。

4. [Download XML] (XMLをダウンロード) をクリックして、Keeper管理コンソールで使用するXMLメタデータをダウンロードします。

1. 左側のナビゲーションでKeeperを選択します。

2. [Actions] (操作) ドロップダウンメニューから[Edit] (編集) をクリックします。

1. Keeper管理コンソールで連携を作成する際に、前にメモした以下の情報を該当フィールドに貼り付けます。

• ACSエンドポイント

• IDPが起点となるログインエンドポイント

• シングルログアウト (SLO) サービスエンドポイント

1. [Certificate] (証明書) で、Keeper管理コンソールからエクスポートしたSP証明書をアップロードして、[保存] (Save) をクリックします。

1. Keeper管理コンソールに戻ります。

2. 任意でジャストインタイムプロビジョニングを有効にし、ユーザーがサインアップ時に法人ドメイン名を入力することでノードにアカウントを作成できるようにします。

3. [SAML メタデータ]にTrusonaのダッシュボードからダウンロードしたmetadata.xmlファイルをアップロードします。

4. [アイデンティティプロバイダ属性マッピング]で、以下のように入力します。

• 名前: 名

• 名字: 姓

• メールアドレス: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

ユーザープロビジョニング

SSO Connect Cloudを使用してユーザーをプロビジョニングする方法についてはこちらのページをご覧ください。

エンドユーザーのログイン

法人ドメインまたはメールアドレスを使用してログインします。

メールアドレスを使用してログイン

1. Keeperボルトに移動します。

2. メールアドレスを入力して、[次へ]をクリックします。

3. スマートデバイスのTraitwareアプリで、ブラウザに表示されたQRコードをスキャンします。

4. Keeperボルトにログインします。

法人ドメインを使用してログイン

1. Keeperボルトに移動します。

2. [法人SSOログイン]のドロップダウンをクリックし、[法人ドメイン]を選択します。

3. 本ページのKeeper側設定部分で指定した法人ドメイン名を入力して、[接続]をクリックします。

4. スマートデバイスのTraitwareアプリで、ブラウザに表示されたQRコードをスキャンします。

5. Keeperボルトにログインします。

手順 1. Keeperメタデータファイルをエクスポートして保存

Keeper管理コンソール内のSSO Connect Cloudプロビジョニングメソッドで[表示]を選択します。そこから、Keeperメタデータファイルをダウンロードして保存することができます。

手順 2. KeeperメタデータをShibbolethに追加

Shibbolethは、リライングパーティとしてのKeeperに関する基本情報を有している必要があります。その情報はSAMLメタデータで定義されていますので、Keeperメタデータファイルを IDP_HOME/metadata/ ディレクトリに追加します。

手順 3. 新規リライングパーティトラストをShibbolethに追加

IDP_HOME/conf/relying-party.xmlで新しいRelyingParty要素を定義することで、Keeperと通信する際にどのように動作するかをShibbolethに指示します。以下のコードをDefaultRelyingParty要素の直後に追加します。プロバイダ属性を法人IDに置き換えます (DefaultRelyingPartyで設定されているプロバイダを使用します)。

<RelyingParty id="keepersecurity.com"
        provider="https://keepersecurity.com/api/rest/sso/saml/264325172298110"
        defaultSigningCredentialRef="IdPCredential">
    <ProfileConfiguration xsi:type="saml:SAML2SSOProfile" encryptAssertions="never" encryptNameIds="never" />
</RelyingParty>

引き続きIDP_HOME/conf/relying-party.xmlファイルで、手順2で追加したKeeperメタデータファイルを使用する設定を行います。既存の設定済みプロバイダの隣に以下のMetadataProvider要素を追加します (ID値が「FSMD」であるはずです)。IDP_HOMEは実際のインストールパスに置き換えてください。

<!-- Keeper Metadata -->
<MetadataProvider id="KeeperMD" xsi:type="FilesystemMetadataProvider" xmlns="urn:mace:shibboleth:2.0:metadata"
    metadataFile="IDP_HOME/metadata/keeper-metadata.xml" maintainExpiredMetadata="true" />

手順 4. 属性リゾルバーの設定

Keeperでは、認証中に特定のユーザー属性のマッピングが送信される必要があります。以下の表に見られるように、デフォルトのKeeper SSO Connect Cloudユーザー属性は、Email (メールアドレス)、First (名)、Last (姓)となります。IDP_HOME/conf/attribute-resolver.xmlを変更することで、Shibbolethの属性リゾルバーを設定してこのデータを利用できるようにします。

手順 5. 属性フィルタの設定

最後に、principal属性 (NameIDとしてエンコード) をGoogleに解放するようにShibboleth属性フィルタリングエンジンを設定します。以下のコードを既存のポリシー要素とともに IDP_HOME/conf/attribute-filter.xmlに追加します。

<AttributeFilterPolicy>
    <PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="keepersecurity.com" />

    <AttributeRule attributeID="principal">
        <PermitValueRule xsi:type="basic:ANY" />
    </AttributeRule>
</AttributeFilterPolicy>

手順 6. ShibbolethからメタデータXMLファイルを取得

1. http://shibboleth.example.com/idp/shibbolethまたは <install_folder>/shibboleth-idp/metadataのShibbolethファイルシステムにあるShibbolethメタデータを見つけます。

2. Shibbolethメタデータを手動で変更し、すべてのユーザーエンドポイントのコメントが解除されていることを確かにします (例: SingleLogout)。

3. XMLファイルを保存します。

手順 7. IdPメタデータをKeeperにアップロード

Shibbolethメタデータ ファイルの準備ができると、Keeper管理コンソールに戻り、SSO Connectクラウドプロビジョニングメソッドで[編集]を選択します。

[アイデンティティプロバイダ]まで下にスクロールし、[IDP タイプ]を [GENERIC] に設定し、[ファイルの参照]を選択して Shibbolethメタデータファイルを選択します。

Keeper 管理コンソール内で編集ビューを終了し、SSO Connect Cloudプロビジョニングメソッドで[表示]を選択します。 [アイデンティティプロバイダ]セクション内に、現在設定されている法人ID、シングルサインオンサービス、シングルログアウトサービス エンドポイントのメタデータ値が表示されます。

グラフィックアセット

ShibbolethインスタンスでKeeperのアイコンやロゴファイルが必要な場合は、グラフィックアセットページをご参照ください。

SSOが機能していない場合は、Shibbolethの設定、メタデータファイル、ユーザー属性にエラーがないか確認してください。

確認が完了後に手順4を繰り返します。

サポートが必要な場合は、[email protected]までメールでお問い合わせください。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Duoのセットアップ

以下の手順では、Duoが正常に有効化され、認証ソース (Active DirectoryまたはIdP) が設定済みであることを前提としています。Duo SSO を有効にするには、Duo Admin Panel (管理パネル) にアクセスし、「Single Sign-On」 (シングル サインオン) セクションにアクセスします。

手順 1: DUO SSOの設定

DuoのAdmin Panel (管理パネル) にログインし、左側のナビゲーションバーの[Protect an Application] (アプリケーションの保護) をクリックします。Keeperを検索し、アプリケーションリストから、保護タイプが[2FA with SSO hosted by Duo (Single Sign-On)] (DuoがホストするSSOによる2FA (シングルサインオン)」のKeeper Securityを見つけて、[Protect] (保護) をクリックします。

手順 2: メタデータ

[Download] (ダウンロード) セクションで、ご利用のSSOプロビジョニングメソッドにアップロードするためのSAMLメタデータファイルをダウンロードします。

Keeper管理コンソールに戻り、DUOクラウドSSOコネクトのプロビジョニングメソッドを見つけて、[編集]を選択します。

[アイデンティティプロバイダ]セクションまで下にスクロールし、[IDP タイプ]を[DUO SSO]に設定して、[ファイルを参照]を選択し、先ほどダウンロードしたDUOメタデータファイルを選択します。

引き続き、Keeper管理コンソール内のDUOクラウドSSOコネクトのプロビジョニングメソッドで、編集ビューを終了して、[表示]を選択します。 サービスプロバイダセクション内に、[エンティティID]、[IDP起点ログインエンドポイント]、[アサーションコンシューマーサービス (ACS) エンドポイント]のメタデータの値が表示されます。

Duo Admin Panel (管理パネル) のアプリケーションページに戻り、Entity ID (エンティティID)、Login Enndpoint (ログインエンドポイント)、ACS Endpoint (ACSエンドポイント) をコピーして、Service Provider (サービスプロバイダ) セクションに貼り付けます。

手順 3: ユーザー属性をマッピング

SAML Response (SAMLレスポンス) セクション内で、Map attribute (属性をマッピング) まで下にスクロールして、以下の属性をマッピングします。

手順 4: ポリシー

Policy (ポリシー) セクションでは、ユーザーがこのアプリケーションにアクセスするときの認証のタイミングと方法を定義します。グローバルポリシーは常に適用されますが、そのルールはカスタムポリシーで上書きできます。

手順 5: グローバルポリシー

Global Policy (グローバルポリシー) セクションでは、DUOまたはKeeperの管理者に表示されるすべてのグローバルポリシーを閲覧、編集、確認できます。

トラブルシューティング

ご利用のDUO環境内へのKeeper Security EPM - Single Sign-Onの実装に関してサポートが必要でしたら、Keeperサポートチームまでお問い合わせください。

既存のユーザー/初期管理者をSSO認証に移行

ユーザーにDuoでログインしてもらいたい場合は、Keeper管理コンソールのルートノード (最上位) で作成されたユーザーをSSO対応ノードに移動する必要があります。管理者は自分自身をSSO対応ノードに移動できません。これには別の管理者が必要となります。

ユーザーがSSO対応ノードに移動した後、メールアドレスを入力し[次へ]をクリックするだけでKeeperボルトにログインできるようになります。機能しない場合は、メールドメイン (例: company.com) がこと、ジャストインタイムプロビジョニングが有効になっていることを確認してください。

法人ドメインでオンボードするには、ユーザーは[法人SSOログイン]からKeeper管理コンソールで設定された法人ドメインを入力します。

ユーザーがSSOで認証されると、今後はメールアドレスを入力するだけSSO認証を開始できます。

メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

1. 新しいサービスプロバイダを追加

Veridiumインターフェースで、[Add Service Provider] (サービスプロバイダを追加) をクリックします。

1. Keeperメタデータをダウンロード

Keeper管理コンソールで、SAMLメタデータファイルをエクスポートします。

[表示]-> [メタデータをエクスポート]へ移動します。

1. Veridiumにメタデータをアップロード

[Service provider name] (サービスプロバイダ名) フィールドに「Keeper」と入力し、Keeperのメタデータファイルをアップロードして、NameID format (NameID形式) に「Email」 を選択します。

1. 属性をマッピング

firstname、lastname、mailの属性をマッピングして[Save] (保存) をクリックします。

これで連携は完了です。 以下はVeridiumのログインフローを示す動画となります。

Keeperオートメーターは、オンプレミス、クラウド、サーバーレスなど、さまざまな方法で導入できます。

データフロー

ネットワークファイアウォールのセットアップ

ファイアウォールの受信トラフィックルールで以下のいずれかのルールセットを設定します。

USデータセンターをご利用のお客様

• 54.208.20.102/32からインバウンドTCPポート443

• 34.203.159.189/32からインバウンドTCPポート443

US / GovCloudデータセンターをご利用のお客様

• 18.252.135.74/32からインバウンドTCPポート443

• 18.253.212.59/32からインバウンドTCPポート443

EU / ダブリンデータセンターをご利用のお客様

• 52.210.163.45/32からインバウンドTCPポート443

• 54.246.185.95/32からインバウンドTCPポート443

AU / シドニーデータセンターをご利用のお客様

• 3.106.40.41/32からインバウンドTCPポート443

• 54.206.208.132/32からインバウンドTCPポート443

CA / カナダデータセンターをご利用のお客様

• 35.182.216.11/32からインバウンドTCPポート443

• 15.223.136.134/32からインバウンドTCPポート443

JP / 東京データセンターをご利用のお客様

• 54.150.11.204/32からインバウンドTCPポート443

• 52.68.53.105/32からインバウンドTCPポート443

Keeperのデータセンター地域に基づいて、記載のIPアドレスごとにルールを作成してください。

以下の手順をご参照ください。

• Keeper Securityウェブサイト

• SSOコネクト製品ページ

• ​リリースノート

概要

ユーザー プロビジョニングには、以下のライフサイクルマネジメント向け機能が備わっています。

• Google Workspaceに新しくユーザーを追加すると、そのユーザーにKeeperボルトセットアップの招待メールが届きます。

• ユーザーは、ユーザーまたはチーム単位でKeeperに割り当てることができます。

• ユーザーのプロビジョニングが解除されると、Keeperアカウントが自動的にロックされます。

Keeper管理コンソールから、Google Workspaceノードの[プロビジョニング]タブに移動し、[メソッドを追加]をクリックします。

SCIMを選択して[次へ]をクリックします。

[プロビジョニングトークンを作成]をクリックします。

次の画面に表示されるURLとトークンは、Google Workspace管理コンソールで必要となりますので、URLとトークンをファイルに一時的に保存してから[保存] をクリックします。

Google Workspace管理コンソールに戻って、Home (ホーム) > [Apps] (アプリ) > [SAML Apps] (SAMLアプリ) に移動し、セットアップしたKeeperの横の[Provisioning Available] (プロビジョニングが利用可能) というテキストをクリックします。

ページ下部にある[Configure auto-provisioning] (自動プロビジョニングの設定) を選択します。

手順 1: アプリケーションの認証

Keeper管理コンソールでSCIMプロビジョニングメソッドを作成したときに保存したアクセストークンを貼り付け、[CONTINUE] (続行) をクリックします。

手順 2: エンドポイントURL

Keeper 管理コンソールでSCIMプロビジョニングメソッドを作成したときに保存したエンドポイント URLを貼り付け、[CONTINUE] (続行) をクリックします。

手順 3: デフォルトの属性マッピング

デフォルトの属性マッピングのまま[CONTINUE] (続行) をクリックします。

手順 4: Provisioning Scope (プロビジョニングスコープ)

Keeper SSO Connectに割り当てられたすべてのユーザーをプロビジョニングする場合は、[CONTINUE] (続行) をクリックします。

手順 5: Deprovisioning (プロビジョニング解除)

Deprovisioning (プロビジョニング解除) 画面で、[FINISH] (完了)をクリックすると、ユーザーのプロビジョニング解除を自動化できます。

Auto-provisioning (自動プロビジョニング) を有効にする

自動プロビジョニングのセットアップが完了すると、Keeperの詳細画面に戻ります。自動プロビジョニングが非アクティブになっているのでアクティブに切り替えます。

切り替えた後、自動プロビジョニングをアクティブにする準備ができていることを確認するポップアウトウィンドウが表示されるので、[TURN ON]をクリックします。

Keeperの詳細画面に戻ると、自動プロビジョニングがアクティブになっています。

自動プロビジョニングの設定が完了しました。今後、Google WorkspaceでKeeperを使用するように設定され、プロビジョニングスコープの定義内にある新しいユーザーは、Keeperボルト使用の招待を受け取り、Google Workspaceの制御下に置かれます。

SSOを使用せずにSCIMでユーザーをプロビジョニング

Google Workspace SCIMプロビジョニングを介してKeeperにユーザーをプロビジョニングしつつSSOでユーザーを認証しない場合は、以下の手順を行います。

1. 上記のSSO設定の場合と同じ手順に従い、サービスプロバイダの詳細画面でACS URLとEntity IDを、コントロール内のドメインを指し、通信可能なソースがないNULL値で置き換えます。 例: Entity ID= ACS URL=

2. Google Workspaceで Keeper アプリケーションがセットアップされると、本ページで前述した通りに自動プロビジョニングメソッドを有効にします。

トラブルシューティング

「not_a_saml_app」というエラーが表示された場合は、SAML アプリケーションで「自動プロビジョニング」が「オン」になっていることを確かにしてください。

Google証明書の更新

SAMLアサーションへの署名用GoogleのIdP x.509証明書は5年後に期限が切れるように設定されています。Google Workspaceの[Manage Certificates] (証明書の管理) の箇所で有効期限をメモし、将来の機能停止を防ぐためにカレンダーのアラートを設定する必要があります。

証明書の有効期限が迫っている場合や証明書の有効期限が切れている場合は、以下の手順に従います。

1. にログインします。

2. [アプリ]をクリックしてから[ウェブアプリとモバイルアプリ]を選択します。

3. Keeperを選択します。

4. サービスプロバイダを開きます。

5. [証明書を管理]をクリックします。

6. [ADD CERTIFICATE] (証明書の追加) をクリックします。

7. [DOWNLOAD METADATA] (メタデータのダウンロード) をクリックします。 　

8. メタデータファイルを保存します。これがIdPメタデータとなります。

9. Keeper管理コンソールへログインします。

10. [管理者] > SSOノード > プロビジョニングへ移動し、SSO Cloudプロビジョニングメソッドを編集します。

11. Google IdPメタデータをKeeperへアップロードします。

本件の詳細については、以下のGoogleサポートページをご参照ください。

既存のユーザーや初期管理者をSSO認証に移行させる

ルートノード (最上位) で作成されたユーザーは、SSO統合が設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力が必要となります。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンを選択し、SSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

メールアドレスを入力して[次へ]をクリックしてもユーザーが目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。ルーティングとドメイン予約の詳細については、をご覧ください。

TraitwareとKeeperを連携させる

Keeper管理者としてKeeper管理コンソールへログインします。 (米国/グローバル) (EUでホストされているお客様) (AUでホストされているお客様) (GovCloudのお客様)

[管理者]タブをクリックし、[ノードを追加]をクリックします。

[プロビジョニング]タブで[メソッドを追加]をクリックします。

[SSO Connect® Cloud を使用したシングルサインオン]を選択して、[次へ]をクリックします。

[環境設定名]と[法人ドメイン]を入力して、[保存]をクリックします。後で法人SSOログインに使用するので、法人ドメインをメモしておきます。

Cloud SSO Connectを使用したSAML 2.0プロビジョニングメソッドが新規作成されて表示されます。メニューから[表示]を選択します。

TraitWare側の設定

からTraitWare管理コンソール (TCC) にログインします。

アプリケーションの鍵を生成

左側のメニューから[Signing Keys] (署名鍵) を選択します。[Generate new Key Pair] (鍵ペアを新規生成) ボタンをクリックします。鍵ペアの表示名を入力し、任意の[Lifetime in Years] (年単位の有効期間)、[Private Key Type] (秘密鍵の種類)、[Private Key Size] (秘密鍵のサイズ) を選択してから、[Generate Key] (鍵を生成)をクリックします。

Traitwareアプリケーションを作成

1. 左側のメニューから[Applications] (アプリケーション) を選択し、[Add Application] (アプリケーションを追加) をクリックします。

2. SAML 2.0を選択します。

3. [Use a Template] (テンプレートを使用) をクリックして、Keeperを選択します。

4. 前にメモしたKeeperの法人IDとACSエンドポイントを入力し、[Submit] (送信) をクリックします。

SAML 2.0連携を設定

1. Traitware管理コンソールの[Applications] (アプリケーション) タブからKeeperを選択します。

2. [Provider Credentials] (プロバイダクレデンシャル) タブを選択し、[Traitware IdP SAML Metadata (XML)] (Traitware IdP SAMLメタデータ (XML))のダウンロードアイコンをクリックします。

3. [Save Application] (アプリケーションを保存) をクリックします。

4. Keeper管理コンソールに戻ります。

5. SAML 2.0 with Cloud SSO Connect™のプロビジョニングメソッドを編集します。

6. 手順2のファイルを[SAML メタデータ]フィールドにアップロードします。

ユーザーを作成し、Traitwareを介してKeeperボルトにログインできるようにする

1. Traitware管理コンソールの[Users] (ユーザー) タブで、[Create User] (ユーザーを作成) を選択します。

2. フォームにすべて入力し、[Save Changes] (変更を保存) をクリックします

3. 新規作成したユーザーをクリックし、[Applications] (アプリケーション) タブを選択します

4. Keeperの[Application Access] (アプリケーションアクセス) をオンにします

すべてのTraitwareユーザーがTraitwareを介してKeeperボルトにログインできるようにする

1. Traitware管理コンソールの[Applications] (アプリケーション) タブからKeeperを選択します。

2. [Enable All User Access] (すべてのユーザーアクセスを有効にする) をクリックします。

3. 操作を確認し、[Enable Access] (アクセスを有効にする) をクリックします。

エンドユーザーのログイン

法人ドメインまたはメールアドレスを使用してログインします。

メールアドレスを使用してログイン

1. Keeperボルトに移動します。

2. メールアドレスを入力して、[次へ]をクリックします。

3. スマートデバイスのTraitwareアプリで、ブラウザに表示されたQRコードをスキャンします。

4. Keeperボルトにログインします。

法人ドメインを使用してログイン

1. Keeperボルトに移動します。

2. [法人SSOログイン]のドロップダウンをクリックし、[法人ドメイン]を選択します。

3. 本ページのKeeper側設定部分で指定した法人ドメイン名を入力して、[接続]をクリックします。

4. スマートデバイスのTraitwareアプリで、ブラウザに表示されたQRコードをスキャンします。

5. Keeperボルトにログインします。

概要

バージョン17.0以降では以下の新機能がご利用になれます。

• チームの承認 (チーム作成)

• チームユーザーの承認 (ユーザーをチームに割り当てる)

• すべての設定が環境変数として構成可能

• 簡素化された展開に対応

• 簡素化された展開に対応

• HTTPSセキュリティを向上させるHSTSが有効

• デバイス承認用とチーム承認用のIPアドレスフィルタリング

• すべてのAPIに対して任意でレート制限

• メールドメインによる任意のフィルタリング

• 任意で特定のネットワークIPへのバインド

チームユーザー承認

チームとユーザーは、SCIMを通じてプロビジョニングされ、チームに追加されたユーザーについては、管理者がコンソールにログインするのを待つことなくオートメーターサービスによって即座に処理できることを意味します。

この新機能を有効にするには以下を行います。

• オートメーターコンテナまたは.zipファイルを最新バージョンに更新します。

• Keeperコマンダーからautomator editコマンドを使用してデバイスの承認およびチームユーザーの承認を行います。

例

チームの承認

IDプロバイダからSCIMメッセージングでチームの作成がリクエストされた際、誰かが (ゼロ知識を保持するために) 暗号化キーを生成するまで、リクエストが完全に処理されることはありません。通常は、管理者がKeeper管理コンソールにログインするときに処理されます。

Keeperオートメーターサービスでチーム承認が有効化されている場合、チームに割り当てられたユーザーのいずれかがKeeperボルトに正常にログインすると、自動的にチームが作成されます。そのため少なくとも1人のユーザーがそのチームのボルトにログインするまでチームは表示されません。

すべての設定が環境変数として設定可能

これにより、設定ファイルへのアクセスが難しいAzureコンテナーまたは他のDockerのようなコンテナーにオートメーターをインストールする場合の構成が簡単になります。

docker-compose.yml ファイルを使用するDockerやAzureコンテナーなどの環境では、以下のようにdocker composeファイルに環境変数を設定できます。

docker-compose.ymlファイルの編集後に環境変数が変更されている場合、コンテナを再構築する必要があります。 コンテナを再起動しただけでは変更は反映されません。

その他の機能

オートメーターサービスの詳細については、のページをご参照ください。

概要

デバイス承認はSSO Connect Cloudプラットフォームで必須となる要素です。 承認は、ユーザーまたは管理者が実行することも、Keeperオートメーターサービスを使用して自動的に実行することもできます。

KeeperクラウドSSOコネクトで認証するカスタマーの場合、デバイスの承認によりキー転送が実行され、ユーザーの暗号化されたデータキーがデバイスに届けられてから楕円曲線秘密キーを使用してローカルで復号化されます。

技術的詳細

KeeperクラウドSSOコネクトでは、どのSAML 2.0IDプロバイダを使用しても簡潔なログイン処理を維持しつつゼロ知識暗号化を実現できます。

過去に使用したことのないデバイスでログインしようとすると、楕円曲線暗号の秘密鍵と公開鍵のペアが新しいデバイスで生成されます。 IDプロバイダの認証に成功すると、ユーザーが新しいデバイスでボルトを復号化できるように鍵交換を実行する必要があります。これを「デバイス承認」と呼びます。

ゼロ知識を維持し、Keeperのサーバーが暗号鍵に一切アクセスできないようにするために、ユーザーまたは指定された管理者が実行できるプッシュ通知による承認方式を開発しました。また、Keeperを使用するとデバイス承認と鍵交換を自動的に実行するサービスをホストできるため、ユーザーの操作は一切不要となります。

承認方式

デバイス承認方式には以下が含まれます。

• 既存のユーザーデバイスへ (プッシュ通知)

• 管理コンソールからの

• を使用した自動承認 (推奨)

• を介した半自動の管理者承認

このページでは、必要に応じてIDプロバイダで使用できるKeeperのアイコンとロゴのグラフィックアセットをご用意しました。

Zipファイル (様々なサイズのアイコンとロゴ)

512 x 512 PNG正方形アイコン

256 x 256 PNG正方形アイコン

128 x 128 PNG正方形アイコン

Keeperロゴ-JPG白背景

Keeperロゴ-PNG透明背景

Keeperロゴ-JPG黒地に白

ユーザーがKeeperボルトからの「ログアウト」をクリックしたときにどのような動作を期待するかは、顧客によって異なる場合があります。 以下の2つの選択肢があります。

オプション1. IdPからはログアウトしない

• Keeperボルトの「ログアウト (Logout）」をクリックすると、ボルトが閉じるだけで、IDプロバイダとのログイン状態を維持します。

• Keeperボルトへの再ログインは、IDプロバイダのログインロジックに従います。 たとえば、Oktaには設定変更可能なサインオン規則があり、アプリケーションを開く前に、ユーザーにMFAコードの入力を求めることができます。 ご利用のIDプロバイダのサインオンロジックを確認して、ユーザーにとって最適な運用を決定してください。

オプション2. IdPからもログアウトする

• Keeperボルトの「ログアウト (Logout）」をクリックすると、IDプロバイダからもユーザーがログアウトされます。

• これにより、ユーザーはIdPと接続されたサービスからもログアウトするため、ユーザーの不満を招くおそれがあります。

• G Suiteやその他の一部のIDプロバイダは、この問題にうまく対処できていません。

• この動作を好ましくないと考える場合は、「ログアウト」をクリックするのではなく、単にボルトを閉じるようにユーザーに指示する必要があります。

シングルログアウト (SLO) を有効化する方法

• IDプロバイダに「シングルログアウト」オプションがある場合は、IDプロバイダの設定画面からこの機能をONにできます。 たとえば、Oktaには「シングルログアウト」チェックボックスがあり、「Keeper SP証明書」のアップロードを求められます。 この設定を変更すると、IdPからメタデータをエクスポートして、Keeper SSOの設定画面に再度インポートする必要があります。

シングルログアウト (SLO) を無効化する方法

• IDプロバイダに「シングルログアウト」オプションがある場合は、IDプロバイダの設定画面からこの機能をOFFにして、新しいメタデータファイルをKeeperにアップロードしてください。

• IdPのユーザーインターフェースに設定画面がない場合は、IdPのメタデータファイル (以下のスクリーンショット) を手動で編集すればよいだけです。 テキストエディターまたはvimで、SLO値を表す以下の強調表示された行を削除します。 次にこのファイルを保存して、Keeper SSOの設定画面にメタデータをアップロードします。

概要

ユーザーは以前に承認されたデバイスを使用して追加のデバイスを承認できます。たとえば、すでにコンピュータでウェブボルトにログインしている状態で初めて携帯電話アプリにログインする場合、ウェブボルトにデバイス承認プロンプトが表示され、その携帯デバイスを承認したり拒否したりできます。デバイス承認により暗号化キーの交換を実行して新しいデバイスでボルトを復号化できるようにします。

Keeperプッシュ通知方式

Keeperプッシュ通知は、ユーザーが自ら処理する承認方式です。[Keeper プッシュ通知]を選択すると、ユーザーの承認済みデバイスに通知が送信されます。携帯アプリおよびデスクトップアプリの場合、プッシュ通知はポップアップとして表示され、簡単にデバイスを承認できます。

以下は、携帯電話を承認用デバイスとして使用したKeeperプッシュ通知承認の例となります。

手順

1. [Keeperプッシュ通知]を選択します。

1. ログイン済みのデバイスにプッシュ通知による承認が表示されるのを待ちます。

1. ユーザーが通知を受信するには、以前に承認済みの別のデバイスにすでにログインしている状態でなければなりません。

管理者管理コンソールからの管理者承認方法

[管理者の承認]を選択すると、[デバイスの承認]の権限を持つKeeper管理者にリクエストが送信されます。 管理者は、管理コンソールの[承認待ち]画面から、またはリクエスト時に管理コンソールにログインして承認できます。

1. ユーザーが[管理者承認]を選択します

1. 承認を待つか、後ほど戻ります。

1. 管理者が管理コンソールにログインし、[承認待ち]にアクセスします。

1. 管理者が情報を確認し、デバイスを承認します。

承認するデバイスを選択し、[承認]をクリックします。 ユーザーが待機している場合は、即座にログインが許可されます。そうでない場合、ユーザーは承認なしで後ほどログインできます (ウェブブラウザのキャッシュをクリアしたりアプリをリセットしたりしない場合)。

デバイスの役割許可を承認する

管理者は、「デバイスの承認」と呼ばれる特別な役割権限によりデバイスを承認できます。

1. ルートノードまたはSSOノード内の[ロール]へ移動します。

1. 歯車アイコンを選択して、選択した役割の管理者権限を制御します。

1. [デバイス承認]権限を割り当てます。

これで、この役割に追加されたユーザーは誰でも管理コンソールにログインしてデバイスを承認できるようになります。

Microsoft AD FS

フェデレーションメタデータXMLを取得

AD FS管理アプリケーション内で、フェデレーションメタデータxmlファイルを特定します。AD FS > Service (サービス) > Endpoint (エンドポイント) をクリックしてから、「Metadata」 (メタデータ) セクションでURLのパスを探して確認します。パスは通常以下に見られるように、/FederationMetadata/2007-06/FederationMetadata.xmlとなります。

メタデータをダウンロード

メタデータファイルをダウンロードするには通常サーバー上でブラウザにURLをロードします。 以下はその例です。 https://localhost/FederationMetadata/2007-06/FederationMetadata.xml このファイルをダウンロードして、コンピュータに保存します。

フェデレーションメタデータをインポート

Keeper管理コンソールのSSOクラウド設定画面で、IdPタイプとして[ADFS]を選択し、前の手順で保存したフェデレーションメタデータファイルをインポートします。

Keeperメタデータをエクスポート

プロビジョニング画面に戻り、[表示]をクリックします。

次に、後ほど証明書利用者信頼 (Relying Party Trust) ウィザードでインポートするため、Keeperメタデータファイルをダウンロードします。Keeper SSO Connect Cloud™のプロビジョニングの[表示]をクリックします。

[メタデータをエクスポート]ボタンをクリックして、config.xmlファイルをダウンロードします。

AD FSの設定を完了

証明書利用者信頼 (Relying Party Trust) を作成

Keeper SSO Connectを証明書利用者信頼として作成します。

Keeperメタデータをインポート

以下に見られるように、証明書利用者信頼 (Relying Party Trust) ウィザードを完了して、Keeper SSO Connect Cloudの表示画面から前もってエクスポートしたKeeperメタデータファイルをインポートします。

Welcome (ようこそ) 画面で[Claim aware] (要求に対応する) を選択し、Keeperから保存したメタデータファイルを選択します。

要求発行ポリシー規則を作成

AD FSとKeeperの間で属性をマッピングするには、[LDAP 属性を要求として送信する] (Send LDAP Attributes as Claims) で要求発行ポリシーを作成し、LDAPの属性をKeeper Connectの属性にマッピングする必要があります。

ログアウトのサポート用に、さらに2つの要求発行ポリシー規則を追加する必要があります。

要求規則に追加する構文をコピーするには、以下のテキストをコピーしてカスタム規則に貼り付けます。

入力方向の要求の種類 (Incoming claim type): http://mycompany/internal/sessionid 送信方向の要求の種類 (Outgoing claim type) : Name ID (名前ID) 送信される名前IDの形式 (Outgoing name ID format) : Transient Identifier (一時識別子)

SAML署名の設定

a. AD FSサーバーで管理者としてPowershellを開きます。 b. 以下のコマンドを実行してSSO Connect Relying Party Trust Identifier (証明書利用者信頼の識別子) の文字列を特定します。

このコマンドを実行すると、長い出力リストが生成されます。SSO Connectセクションと「識別子」(Identifier) の文字列を探します。 この文字列は以下のようになります。 https://keepersecurity.com/api/rest/sso/saml/459561502484

c.以下のコマンドを実行し、<Identifier>を手順(b)で見つけた文字列に置き換えます。

Get-ADFSRelyingPartyTrustを再度実行すると、SamlResponseSignatureセクションが「MessageAndAssertion」に設定されていることが確認できます。

AD FSサービスを再起動

サービスマネージャから、AD FSサービスを再起動します。

トラブルシューティング

テスト目的または内部PKI証明書のために、IdPでの証明書の有効性確認を無効にする必要がある場合は、以下のPowershellコマンドをご使用ください。 < Identifier>を上記の「SAML署名の設定」 の手順で特定した文字列に置き換えます。

備考: 署名設定に何らかの変更を加えると、IdPとSSO Connectの間でXMLメタデータの交換が必要になる場合があります。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

AWS SSO

AWSにログインし、[AWS Single Sign-On] (AWSシングルサインオン) を選択します。

SSOダッシュボードで、[Configure SSO access to your cloud applications] (クラウドアプリケーションへのSSOアクセスを設定する) を選択します。

[Applications] (アプリケーション) メニューで、[Adda a new application] (新しいアプリケーションを追加) を選択します。

次に、Keeper Securityを選択して[Add] (追加) を選択します。

[Details] (詳細) セクションで[Display name] (表示名)と[Description] (説明) (任意) を入力します。

[AWS SSO metadata] (メタデータ) セクションで、[Download] (ダウンロード) ボタンを選択して、AWS SSO SAMLメタデータファイルをエクスポートします。このファイルは、設定画面の[SSO Connect IdPMetadata] (メタデータ)　セクションでインポートします。

このファイルをKeeper SSO Connectサーバーにコピーし、ファイルを参照するか、設定画面の[SAMLメタデータ]の箇所にドラッグアンドドロップしてKeeper SSO Connectインターフェースにアップロードします。

次に、Keeperのメタデータファイルをダウンロードし、AWSアプリケーションのメタデータファイルにアップロードします。Keeper SSO Connect Cloud™のプロビジョニングの表示画面に移動します。

[メタデータをエクスポート]ボタンをクリックして、config.xmlファイルをダウンロードします。

\

AWS SSOの[Application metadata] (アプリケーションメタデータ) セクションに戻って、[Browse...] (ファイルを参照) ボタンを選択し、上記の手順でダウンロードしたconfig.xmlを選択します。

[Save changes] (変更を保存) をクリックすると、「Configuration for Keeper Password Manager has been saved」 (Keeperパスワードマネージャの設定が保存されました) いうメッセージが表示されます。

• より小さいサイズのSSL証明書の生成、メタデータファイルの再エクスポートとインポート、AWS SSOの設定でACS URLとAudience URLを手動設定のいずれかを行なってください。

次に、AWS SSOにマッピングするKeeperの属性が正しいことを確かにします (デフォルトで設定されています)。[Attribute mappings] (属性マッピング) タブを選択します。 AWSの文字列値を${user:subject}に、形式を空白またはunspecified (未指定) にします。 Keeper属性を以下のように設定します。

この変更を行うには、AWS SSOページの[Connected Directory] (接続されたディレクトリ) へ移動します。

[Edit attribute mappings] (属性マッピングを編集) ボタンを選択します。

AWS SSOのemail (メール) 属性を${dir:windowsUpn}から${dir:email}に変更します。

[Assigned users] (割り当てられたユーザー) タブを選択してから、[Assign users] (ユーザーを割り当て) ボタンをクリックして、アプリケーションを割り当てるユーザーまたはグループを選択します。

[Assign users] (ユーザーを割り当て) ウィンドウで、以下の操作を行います。

• グループまたはユーザーを選択

• グループまたはユーザーの名前を入力

• [Search connected directory] (接続されたディレクトリを検索) を選択して、検索します。

ディレクトリ検索の結果は、検索ウィンドウの下に表示されます。

アプリケーションへのアクセスが必要なユーザーやグループを選択し、[Assign users] (ユーザーを割り当て) ボタンを選択します。

備考: Keeper SSO Connectは、SAMLレスポンスが署名されていることを想定しています。IDプロバイダがSAMLレスポンスに署名するように設定されていることをご確認ください。

これでKeeper SSO Connectの設定は完了です。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Keeperは、すべてのSAML 2.0 SSO IDプロバイダ (IdP) と互換性があります。ご利用のIDプロバイダがリストにない場合は、このガイドの手順に従って設定を完了してください。この設定において、Keeperはサービスプロバイダ (SP) です。

手順1. IDプロバイダを設定

KeeperクラウドSSOコネクトについて、以下のような情報をIDプロバイダのアプリケーションに提供する必要があります。

• エンティティID

• IdPが起点となるログインエンドポイント

• ACS (Assertion Consumer Service) エンドポイント

• シングルログアウト (SLO) サービスエンドポイント

• SPメタデータファイルまたはKeeper SP証明書ファイル

この情報を取得するには、Keeper管理コンソール内でSSO Connect Cloudプロビジョニングメソッドを見つけて、表示 (View) を選択します。 そこから、Keeperメタデータファイル、サービスプロバイダ (SP) 証明書ファイル、およびダイレクトURLと設定情報をダウンロードできます (IDプロバイダアプリケーションがメタデータファイルのアップロードをサポートしていない場合）。

サービスプロバイダのメタデータをアップロードする方法、または必要なSAMLレスポンス設定フィールドに手動で入力する方法については、IDプロバイダのアプリケーション設定ガイドをご参照ください。

手順2. IdPメタデータを取得

IdPメタデータをKeeperにインポートするには、正しく書式設定されたメタデータファイルが必要です。 ご利用のSSO IDプロバイダのアプリケーションがメタデータファイルをエクスポートできる場合、これがKeeperクラウドSSOコネクトプロビジョニングメソッドにメタデータをインポートするための最も便利でお勧めの方法でしょう。

ご利用のIDプロバイダからメタデータファイルをエクスポート/ダウンロードできない場合は、正しく書式設定されたメタデータファイルを作成してください。 手順については、SSOアプリケーションの設定ガイドをご参照ください。

KeeperクラウドSSOコネクトに対応したIDプロバイダのシンプルなmetadata.xmlファイルの書式のサンプル/テンプレートを以下に示します。 このサンプル/テンプレートを使用して作成を開始する場合は、お好みの.xmlや.txt用のエディターで、ご利用のIdPの情報に従って、その他のフィールドをコピー、貼り付け、修正、追加してください。

手順3. ユーザー属性をマッピング

Keeperでは、認証中に送信される特定のユーザー属性をマッピングする必要があります。 KeeperクラウドSSOコネクトのデフォルトのユーザー属性は、以下の表に示したEmail、First、Lastです。 IDプロバイダのユーザー属性がKeeperの属性と一致するようにしてください。 手順については、ご利用のIDプロバイダの設定ガイドをご参照ください。

手順4. IdPメタデータをKeeperにアップロード

IDプロバイダのメタデータファイルの作成、またはIDプロバイダのメタデータファイルのダウンロードが完了したら、Keeper管理コンソールに戻り、SSO Connect Cloudプロビジョニングメソッドを見つけて、編集 (Edit) を選択します。

IDプロバイダ (Identity Provider) セクションまで下にスクロールし、IDPタイプ (IDP Type) を汎用 (GENERIC) に設定して、ファイルを参照 (Browse Files) を選択し、作成したメタデータファイルを選択します。

引き続き、Keeper管理コンソール内のSSO Connect Cloudプロビジョニングメソッドで、編集 (Edit) ビューを終了して、表示 (View) を選択します。 IDプロバイダ (Identity Provider) セクション内のエンティティID (Entity ID）、シングルサインオンサービス (Single Sign On Service）、シングルログアウトサービスエンドポイント (Single Logout Service Endpoint) のメタデータ値が入力されたことを確認できます。

グラフィックアセット

IDプロバイダがアプリケーションのアイコンやロゴファイルを必要とする場合は、をご参照ください。

アプリケーションが機能していない場合は、IDプロバイダのアプリケーション設定を見直し、メタデータファイルとユーザー属性にエラーがないか確認してください。

確認が済んだら、手順4を繰り返します。

サポートが必要な場合は、[email protected]までメールでご相談ください。

既存のユーザー/初期管理者をSSO認証に移動

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます

法人ドメインを入力する必要はありません。メールアドレスを入力して[次へ]をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確かにします。 ルーティングとドメイン予約の詳細については、をご覧ください。

Google WorkspaceとKeeperの連携では以下がサポートされています。

• SAML 2.0を使用したSSO認証

• Google Cloud APIとSCIMを使用した自動プロビジョニング (ユーザーとグループ)

• SCIMを使用した自動プロビジョニング (ユーザーのみ)

SSO、SSOとプロビジョニング、プロビジョニングのみのいずれかを設定できます。

Google Workspaceの設定

Google Workspace管理コンソールにアクセスするには、にログインします。

[Apps] (アプリ) > [Web and Mobile Apps] (ウェブアプリおよびモバイルアプリ)画面にアクセスします。

続いて、[Add App] (アプリを追加)、[Search for apps] (アプリを検索)の順に選択します。

[Enter app name] (アプリ名を入力)の箇所で「Keeper」を検索し、「Keeper Web (SAML)」を選択します。

Keeperアプリを設定

[Option1] (オプション1)を使用して、IdPのメタデータをダウンロードし、[CONTINUE] (続行) を選択します。

サービスプロバイダの詳細情報

[Service Provider Details] (サービスプロバイダの詳細情報) 画面には、入力フィールドがいくつかあります。ACS URLとEntity IDを、SSO Connect Cloudインスタンスで使用する値に置き換えます。

ACS URLとEntity IDを取得するには、Keeper管理コンソール内でSSO Connect Cloudプロビジョニングメソッドを見つけて、[表示]を選択します。

Service providerの箇所に、ACS URLとEntity IDの値が表示されます。

ACS URLとEntity IDをコピーして、Service provider details (サービスプロバイダの情報) に貼り付け、[Signed Response] (署名付きレスポンス) をチェックして、[CONTINUE] (続行)を選択します。

属性マッピング

Attributes (属性) 画面で、以下に表示されているとおり3つのマッピングがあることを確かにします。以下に表示されているように、マッピングフィールドをFirst Name (ファーストネーム) 、Last Name (ラストネーム) 、Primary Email (プライマリメール) に設定し、[Finish] (完了)を選択します。 これで、Google WorkspaceのKeeperへのSAML連携が完了しました。

Keeper SAMLアプリの詳細

設定が完了すると、Keeper SAMLアプリの詳細ページが表示され、SAML接続およびサービスの詳細を確認できます。SSOを有効にするには、[OFF for everyone] (すべてのユーザーに対してOFF) をクリックします。

全ユーザーでSSO Connectを有効にする

全ユーザーでKeeper SSO Connectを有効にするには、[ON for everyone] (すべてユーザーに対してON) を選択して、[SAVE] (保存)をクリックします。

グループのSSO Connectを有効にする

特定のグループでKeeper SSO Connectを有効にするには、[Service status] (サービスステータス) の左側にある[Groups] (グループ) を選択し、Keeper SSO Connectに関連付けたいグループを検索して選択し、ONをチェックして[SAVE] (保存) をクリックします。

Google Workspaceメタデータをインポート

Keeper管理コンソールに戻り、SSO Connect Cloudプロビジョニングメソッドを見つけて[編集]を選択します。

[Browse Files] (ファイルを参照) を選択し、以前にダウンロードしたGoogleメタデータファイルを選択します。

メタデータファイルがプロビジョニングメソッドに反映されると、成功したことになります。 これで、プロビジョニング設定を終了します。

Google Workspaceのシングルログアウト (SLO) 設定に関する注意

SSOの設定が完了しました。

これでKeeper SSO ConnectをGoogle Workspaceと連携させる設定は完了となります。以下の手順で、Googleアカウントを使用してKeeperにログインできるようになります。

1. Keeperボルトを開き、[法人SSOログイン]をクリックします。

2. SSOの設定時にKeeper管理コンソールに指定した法人ドメインを入力します。SSO Connectのステータス画面ではSSO Connectドメインという名前になっています。

3. [接続]をクリックし、Google Workspaceの認証情報でログインします。

エンドユーザーの操作手順（Keeperが起点となるログイン）については、以下をご参照ください。

以下はSSOエンドユーザー向け動画です。

ユーザーとチームのプロビジョニング

次に、Google Workspaceからユーザーとチームのプロビジョニングを設定する方法を解説します。 Google Workspaceと統合するには以下の2つの方法があります。

オプション 1 (推奨): ユーザーとグループのプロビジョニング

Google WorkspaceではSCIMグループがネイティブでサポートされていないため、Keeperではユーザーとグループのプロビジョニングを自動化するためにGoogle Workspaceと統合するGoogle Cloud Functionを開発しました。このサービスの設定手順については、以下をご参照ください。

オプション 2: ユーザーのみをプロビジョニングする

SCIM直接統合を使用して直接Google WorkspaceからKeeperへのユーザー (グループではなくユーザーのみ) をプロビジョニングする手順については、以下をご参照ください。

概要

Keeperオートメーターではマルチテナントがサポートされていますので、一度のデプロイで複数のKeeperエンタープライズ環境を自動化できます。

• MSP環境では、単一のKeeperオートメーターインスタンスを使用して複数の企業に対応できます。

• エンタープライズユーザーの場合、単一のインスタンスで様々なIDプロバイダの承認を処理できます。

サーバーが実行中となると、企業が異なっても複数のSSOノードに使用できます。

MSPによる複数企業の管理

単一のオートメーターインスタンスを発動して複数の企業を管理する手順は以下のとおりです。

1. MSP管理者としてコマンダーにログインします

1. コンテキストを管理対象企業に切り替えます

設定したい企業を見つけてIDを選択し、以下のように入力します。

1. オートメーターインスタンスを作成します

以下のように、editの手順では共通のオートメーターURLを使用します。

1. MSPに戻ります

MSP管理者コンテキストに戻ります

管理対象の企業ごとに、上記の4つの手順を繰り返します。

マルチテナント企業

同じ企業テナントの複数のノードで、単一のオートメーターインスタンスを有効化する手順は以下のとおりです。

1. 管理者としてコマンダーにログインします

1. オートメーターインスタンスを作成します

以下のように、各ノードでeditには同じURLを使用します。

同一のURLエンドポイントを持つ別のインスタンスを設定します。

新たに作成したインスタンスは、名前とIDが異なり、割り当てられたノードも異なりますが、同じURLを使用します。

各ノードで手順2を繰り返し、同じオートメーターインスタンスに複数のテナントをセットアップします。

コマンダー方式による自動承認

KeeperのCLI/SDKプラットフォームであるコマンダーを使用すると、管理コンソールにログインしなくとも自動で管理者によるデバイス承認を実行できます。また、Keeperコマンダーが実行可能であればどのコンピュータ (Mac、PC、Linux) でも設定できます。

この方法はKeeperクラウドからの着信接続を必要としないため、入力ポートが開けない環境に適しています。この方法ではポーリングメカニズムが使用されます (送信接続のみ)。

Keeperコマンダーをインストール

インストール手順についてはをご参照ください。 Mac/PC/Linux用のバイナリバージョンをインストールするか、pip3を使用します。

CLIを使用してデバイスを承認

keeper shellコマンドを使用してコマンダーCLIを起動します。コマンダーのバイナリをインストールした場合はそのファイルを実行します。

$ keeper shell
  _  __
 | |/ /___ ___ _ __  ___ _ _
 | ' </ -_) -_) '_ \/ -_) '_|
 |_|\_\___\___| .__/\___|_|
              |_|

 password manager & digital vault   

loginコマンドを使用して、デバイスの承認権限を持つKeeper管理者としてログインします。 コマンダーでは、マスターパスワードと2FAがサポートされています。自動化を目的として、デバイスの承認専用のKeeper管理アカウントを作成することを推奨します。 これにより、ユーザーアカウントへの何らかの変更 (強制適用ポリシーなど) によって、コマンダーの処理が中断されることがなくなります。

My Vault> login [email protected]
Password: *******

すべてのデバイスを表示するには、device-approveと入力します。

My Vault> device-approve
Email               Device ID           Device Name       Client Version
------------------  ------------------  ----------------  ----------------
[email protected]  f68de375aacdff3846  Web Vault Chrome  w15.0.4
[email protected]  41sffcb44187222bcc  Web Vault Chrome  w15.0.4

特定のデバイスを手動で承認するには、以下のコマンドを使用します。

My Vault> device-approve --approve <デバイスID>

過去に正常なログインが認識されたIPからのデバイスをすべて承認するには、以下のコマンドを使用します。

My Vault> device-approve --approve --trusted-ip

IPアドレスに関係なくすべてのデバイスを承認するには、以下のコマンドを使用します。

My Vault> device-approve --approve

特定のデバイス承認リクエストを拒否するには、denyコマンドを使用します。

My Vault> device-approve --deny <デバイスID>

すべての承認リクエストを拒否するには、デバイスIDパラメータを削除します。

My Vault> device-approve --deny

シェルを終了せずに最新のデバイス承認をリロードするには、reloadコマンドを使用します。

My Vault> device-approve --reload

X秒ごとにデバイスを自動承認

コマンダーでは、X秒ごとに承認を実行する自動化モードがサポートされています。設定するには、自動作成されたconfig.jsonファイルを変更します。このファイルは、ユーザーフォルダの.keeperフォルダ内 (WindowsではC:\Users\Administrator.keeper\config.json、Mac/Linuxでは/home/user/.keeper/config.json) にあります。

既存のデータは変更せずに以下の行を追加します。

"commands":["device-approve --reload","device-approve --approve"],
"timedelay":30

これでコマンダーを開く (またはkeeper shellを実行する) と、以下のように指定した時間ごとにコマンダーがコマンドを実行するようになります。

$ keeper shell
Executing [device-approve --reload]...
Password:
Logging in...
Syncing...

Executing [device-approve --reload]...

Email               Device ID           Device Name       Client Version
------------------  ------------------  ----------------  ----------------
[email protected]  f68de375aacdff3846  Web Vault Chrome  w15.0.4

Executing [device-approve --trusted-ip --approve]...
2020/09/20 21:59:47 Waiting for 30 seconds
Executing [device-approve --reload]...
There are no pending devices to approve
.
.
.

チームとユーザーの自動承認

上記の例と同様に、コマンダーを使用してAzure、Okta、JumpCloudなどのSCIMプロバイダによって作成されたチームおよびユーザー割り当てを自動的に承認できます。

設定するには、team-approveというコマンドをJSON設定ファイルに追加します。

{
    "user": "[email protected]",
    "commands": [
        "debug",
        "device-approve --reload",
        "device-approve --approve",
        "team-approve"
    ],
    "timedelay":60
}

セッションの持続

Keeperコマンダーでは持続的ログインセッションがサポートされていますので、実行中はマスターパスワードでログインしたりconfigrationファイルにマスターパスワードをハードコードしたりする必要はありません。

以下はデバイス上で30日間 (最大) 持続的ログインを有効にするコマンドとなります。

My Vault> this-device register
My Vault> this-device persistent-login on
My Vault> this-device ip-auto-approve on
My Vault> this-device timeout 30d
My Vault> quit

デバイスで持続的ログインが設定されると、ローカルフォルダ内のconfig.jsonは以下のようになります。

{
    "private_key": "8n0OqFi9o80xGh06bPzxTV1yLeKa5BdWc7f7CffZRQ",
    "device_token": "R2O5wkajo5UjVmbTmvWnwzf7DK1g_Yf-zZ3dWIbKPOng",
    "clone_code": "retObD9F0-WDABaUUGhP0Q",
    "user": "[email protected]",
    "server": "keepersecurity.com"
}

永続的ログインについてはコマンダーの資料のをご参照ください。

Keeperコマンダーを使用して自動化コマンドをカスタマイズする方法は数多くありますので、詳細についてはをご参照ください。

概要

Keeperオートメーターはセルフホスト型のサービスで、デバイスの承認、チームの承認、およびチームユーザーの割り当てなどの暗号化処理を実行します。

オートメーターが実行されると、ユーザーはIDプロバイダによる認証に成功した後、それ以上の承認手順を踏まずに、新しい (まだ承認されていない) デバイス上のKeeperにそのままアクセスできます。オートメーターサービスが設定されていない場合でも、ユーザーと管理者はプッシュ承認を通じて手動でデバイスを承認できます。

Keeperオートメーターは、さまざまな方法でクラウドまたはオンプレミス環境に展開できる軽量のサービスです。

オートメーターが必要とされる理由

KeeperクラウドSSOコネクトは、IDプロバイダを使用してKeeperボルトへそのまま認証します。通常、新しいデバイスはユーザー自身が承認するか、管理者がユーザーの代わりに新しいデバイスを承認する必要があります。オートメーターサービスはデバイスの承認に関連する煩わしい操作をすべて解消したいと考える管理者のために作成された任意で選択できるサービスとなります。

ゼロ知識を維持し、暗号化されたデータキー (EDK) のユーザーデバイスへの転送を自動化するには、サービスをKeeper側でホストするのではなく、 企業側で運用するサービスとして実行する必要があります。このサービスには様々な実行方法があり、クラウドでもセルフホストでも実行可能です。

SSOコネクトの暗号化モデルの詳細な説明については、こちらのページをご参照ください。

インストール方法

ご利用の環境に応じて以下のインストール方法からお選びください。Azure Container App、Azure App Services、AWS Elastic Containerサービス、Google Cloud (GCP Cloud Run)は、これらのクラウドサービスをご利用の場合に最適です。

Azure Container App

手順を表示

Azure App Service

手順を表示

Azure App Gateway

手順を表示

AWS Elastic Containerサービス

手順を表示

KSMを使用したAWS Elastic Containerサービス

手順を表示

Google Cloud (GCP Cloud Run)

手順を表示

スタンドアロンJava

手順を表示

Docker

手順を表示

Docker Compose

手順を表示

Kubernatesサービス

手順を表示

Windowsサービス

手順を表示

オートメーターのセキュリティ

オートメーターサービスを使用するとユーザー体験は向上しますが、IDプロバイダは完全に保護されている必要があります。

Keeper環境を保護するためのをご参照ください。

Keeper SSOコネクトでの証明書の更新について

IdPのSAML署名証明書を更新し、アクティブな状態にしておくことは非常に重要です。通常、更新は年に1回行われます。

Keeperボルトへのログイン時に以下のエラーが表示された場合、通常、SAML署名証明書の有効期限が切れていることを示しています。

「申し訳ございません。組織のアカウントから Keeperにログインする際に予期しないエラーが発生しました。IDPからのSAML応答を解析できません。」

解決方法

この問題を解決するには、以下の手順をお試しください。

1. Keeperアプリケーションに関連するIDプロバイダからのSAML署名証明書を更新します。

2. 新しいSAML署名証明書またはIdPメタデータファイルをダウンロードします。

3. Keeper管理コンソールでIdPメタデータを更新します。。

Entra ID / Azure AD の手順

Microsoft Azureは最も広く使用されているIDプロバイダーであるため、以下に更新手順を記載しておきます。Azureがプロバイダでない場合も、手順はほぼ同じです。

1. Azureポータル (https://portal.azure.com) にログインし、[Enterprise Application] (エンタープライズアプリケーション) > [Keeper] > [Set up Single sign on] (シングルサインオン) の設定に進みます。

1. SAML証明書セクションで、証明書の有効期限が切れていることを確認します。[Edit] (編集) をクリックします。

1. [New Certificate] (新しい証明書) をクリックして新しい証明書を生成します。

1. オーバーフローメニューをクリックし、[Make certificate active] (証明書を有効にする) をクリックして保存し、変更を適用します。

1. SAML証明書セクションから、新しいフェデレーションメタデータXMLファイルをダウンロードしてパソコンに保存します。

1. Keeper管理コンソールでSAMLメタデータを更新する

Keeper管理コンソールから、Keeperテナントにログインし、SSO構成にアクセスします。

• SSOノードを選択し、[プロビジョニング]タブを選択します。

• [SSO Connect Cloudによるシングルサインオン]をクリックします。

• [設定を編集する]をクリックして削除します。

• 既存のSAMLメタデータをクリックします。

• デスクトップから新しいXMLメタデータファイルをアップロードします。

この時点で、SAML 証明書は正常に更新されるはずです。

1. SSOが正常に機能していることを確認します。

最新の証明書を含むメタデータXMLファイルがKeeperにアップロードされましたので、エラーなしでSSOを使用してログインできるはずです。

1. メタデータXMLファイルをパソコンから削除するか、ボルトに保存します。

2. 来年の有効期限前にSAML証明書を更新するようにカレンダーにリマインダを設定します。

Keeper管理コンソールにアクセスできない

SSO証明書の問題により Keeper管理コンソールにログインできない場合は、以下のいずれかのオプションを選択してアクセスを復元してください。

オプション 1. マスターパスワードを使用して管理コンソールにログインするサービスアカウントを使用する。

オプション 2. 副管理者に連絡してログインして証明書を更新してもらいます。

どちらのオプションも利用できない場合は、Keeperビジネスサポートまでお問い合わせください。

概要

Keeperは、すべてのMicrosoft Azure AD / Entra ID環境と互換性があり、SAML 2.0認証および自動プロビジョニングに対応しています。

• Keeperアプリケーション (ウェブボルト、KeeperFill、Keeperデスクトップ、iOS/Android用Keeperなど) は、条件付きアクセスポリシーに完全対応しています。

• Keeperでは商用 (portal.azure.com) とAzure Governmentクラウド (portal.azure.us) の両方の環境がサポートされています。

Azureの設定

AzureにクラウドSSOコネクトを設定する手順の詳細については以下の動画をご覧ください。

以下の手順を実行します。

1. Keeper Enterpriseアプリケーションを追加

からAzure Adminアカウントへ移動し、[Azure Active Directory] > [Enterprise Applications] (エンタープライズアプリケーション) をクリックします。SCIMプロビジョニング用にKeeperアプリケーションがすでに設定されている場合は、既存のアプリケーションを編集します。

1. [New Application] (新規のアプリケーション) をクリックし、Keeperを検索してKeeper Password Managerを選択します。

1. [Create] (作成) をクリックしてアプリケーションを作成します。

2. [Set up single sign on] (シングルサインオンの設定) をクリックしてから [SAML] をクリックします。

• Keeper管理コンソールを開き、[管理者] 画面に移動します。

• 対象ノードを選択し、[プロビジョニング] タブをクリックします。

• [SSO Connect Cloud] を選択して [次へ] をクリックします。

• 必要な構成情報を入力し、[次へ] をクリックします。

• すると、[メタデータのエクスポート] ボタンが表示され、ダウンロードできるようになります。

1. [Upload metadata file] (メタデータファイルのアップロード) ボタンを選択してKeeper管理コンソールからダウンロードしたばかりのファイルを選択します。

[Add] (追加) ボタンを押してAzureインターフェースにメタデータファイルをアップロードします。

1. AzureのSAML設定画面が表示されます。

エラーを修正するには、管理コンソールのクラウドSSOインスタンスの詳細]画面で [IDP起点のログインエンドポイント] のURLをコピーし、[Sign on URL] (サインオンURL) 蘭に貼り付けます。

シングルログアウトサービスエンドポイント (SLO)

KeeperのURLエンドポイントで、IDプロバイダからのログアウトリクエストの送信先となります。シングルログアウトは任意で、IDプロバイダ側で設定します。

IDプロバイダを使用したKeeper起点のシングルログアウトの制御については、をご参照ください。

デフォルトでは、ログアウト後にKeeperが強制的にEntra/Azureからのログアウトセッションを行います。この動作が発生しないようにしたい場合は、AzureメタデータファイルをKeeper にアップロードする前に編集し、SingleLogoutServiceの行を削除します。セキュリティ上の理由から、この行はそのまま含めておくことを推奨します。

1. [Save] (保存) をクリックしてからSAML設定ウィンドウを閉じます。

1. 保存後、設定のテストを求められますがテストは行わなず、数秒待ってからウェブブラウザでAzureポータルページを更新します。これで、[SAML Signing Certificate] (署名証明書) の箇所に証明書の項目が表示されます。

[Federation Metadata XML] (フェデレーションメタデータXML) の箇所の [Download] (ダウンロード) をクリックします。

1. メタデータファイルをKeeper管理コンソールにアップロードします。

管理コンソールで、[IDPタイプ] にAzureを選択し、手順9で保存したフェデレーションメタデータファイルをインポートします。

1. [User Attributes & Claims] (ユーザー属性と要求) を編集します。

[User Attributes] (ユーザー属性) セクションでは、AzureがユーザーID、名、姓、メールに対する要求を自動的に作成します。

[Additional clams] (追加要求) セクションの4つの要求は不要ですので、削除してください。

ForceAuthnの設定

Keeper管理コンソールで、IDプロバイダとの新しいログインセッションを実施するオプションがご利用になれます。SAMLリクエストでForceAuthn="true" が設定されていると、ユーザーがすでに認証されている場合でもサービスプロバイダ (Keeper) から新しい認証済みセッションを強制しなければならない旨IDプロバイダに伝えます。セキュリティポリシーやエンドユーザー環境によっては望ましい動作となります。

証明書更新のリマインダ

Entra ID / Azure AD のSAML署名証明書は1年後に失効します。

証明書の更新手順については、をご参照ください。

ユーザープロビジョニング

手動または自動のプロビジョニングを使用して、AzureポータルからKeeperにユーザーをプロビジョニングできます。

手動

Keeperパスワードマネージャに特定のユーザーまたはグループのみを割り当てる場合は、以下の設定を変更する必要があります。Azureコンソールで、[Azure Active Directory] > [Enterprise Applications] (エンタープライズアプリケーション) > Keeper Password Managerへ進み、[Properties] (プロパティ) を選択します。

[User assignment required] (ユーザーの割り当てが必要ですか) を [Yes] (はい) に変更して保存します。これにより、アプリケーションに割り当てられたユーザーとグループのみが使用できるようになります。

[Users and groups] (ユーザーおよびグループ) の箇所で、Keeperアプリケーションにプロビジョニングするユーザーやグループを選択します。

SCIMを使用した自動プロビジョニング

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位レベル) で作成されたユーザーについては、SSO連携が設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスするときにマスターパスワードの入力を求められます。

管理者はSSO対応ノードに自ら移動できません。移動するには、別の管理者が必要となります。

メールでのボルトへのログイン

ジャストインタイムプロビジョニングが有効になっているの場合、ボルトへのログイン画面でメールアドレスを入力するだけで正しいSSOプロバイダにルーティングされます。ここからボルトを作成するか、既存のボルトにログインできます。

法人ドメインでボルトへのログイン

ドメインが予約されていない場合、最初に [法人SSOログイン] を選択し、SSO統合で設定された法人ドメインを入力することでKeeperボルトへログインできます。ユーザーが最近非SSOノードからSSOノードに移動した場合、マスターパスワードの入力を求められる場合があります。

ユーザーがSSO認証されると、それ以後はメールアドレスを使用するだけでSSO認証を開始できます。

メールアドレスを入力して [次へ] をクリックしても目的のSSOにルーティングされない場合は、KeeperのSSO設定でジャストインタイムプロビジョニングが有効になっていることを確認し、メールドメインがKeeperによって予約されていることを確かにします。ルーティングとドメイン予約の詳細については、を参照してください。

IdP起点のログイン

Keeperは、AzureのIdP起点のログインをサポートしています。以下のURLからアプリケーションダッシュボードへ移動します。

これにより、割り当てられたKeeperのアプリケーションがロードされ、アイコンをクリックできるようになります。

ユーザーのオンボーディング

SSOが設定されたノード内のユーザーをオンボーディングするには、以下のオプションがあります。

オプション1. SCIM自動プロビジョニングを使用

• IDプロバイダがSCIMプロトコルを使用した自動プロビジョニングに対応している場合、Keeperボルトに自動的にプロビジョニングされます。

• まだプロビジョニングを行っていない場合、ガイドをご参照の上、IDプロバイダにSCIMを設定してください。

• SCIMを使用してプロビジョニングされたユーザーは、ボルトのログイン画面でメールアドレスを入力するだけで、自動的にIdPのログイン画面に移動してサインインを完了します。IdPにルーティングされるようKeeperでメールドメインが予約されていることを確かにしてください。ドメインの予約についてはをご参照ください。

• IdPでの認証が済むと、ユーザーは最初のデバイスで自分のボルトにログインした状態になります。それ以降に使用するデバイスについてはデバイス承認が必要となります。

オプション 2. ジャストインタイム (JIT) プロビジョニングを使用

SSO設定でジャストインタイム (JIT) プロビジョニングが有効になっている場合、ユーザーがボルトにアクセスする方法は複数あります。

1. IDプロバイダのダッシュボードにユーザーを誘導して、Keeperアイコンをクリックしてもらいます (IdPが起点となるログイン）。

2. IDプロバイダ内にKeeperへのハイパーリンクを表示します (正確なURLについては、IdPのアプリケーション設定画面をご参照ください)。

3. ユーザーをKeeperボルトに誘導し、メールアドレスを入力して[次へ]をクリックしてもらいます。

1. メールアドレスの使用が望ましくない場合、管理コンソールでSSO用に設定した法人ドメインを使用して、[法人SSOログイン]を選択することもできます。

1. 以下の形式を使用して、ユーザーをKeeperの法人ドメインログイン画面に直接ハイパーリンクします。

• <ドメイン>を以下のKeeperのテナントがホストされているデータセンターのエンドポイントに置き換えます。

  • keepersecurity.com

  • keepersecurity.eu

  • keepersecurity.com.au

  • govcloud.keepersecurity.us

  • keepersecurity.jp

  • keepersecurity.ca

• <名前>は、管理コンソールで割り当てられた法人ドメインの名前に置き換えます。