Active Directoryプラグイン

Keeperコマンダーローテーション用Active Directoryプラグイン

KeeperPAMにおいてゼロトラストに基づいた新しいパスワードローテーション機能がリリースされました。 この機能は、ほとんどのパスワードローテーションの事例において推奨されています。

詳しくは、以下のページをご覧ください。

• KeeperPAMによるパスワードローテーション

• コマンダーのKeeperPAM関連コマンド一覧

このプラグインを使用すると、Active Directoryユーザーアカウントのパスワードをローテーションできます。また、 ADサーバーにネットワークでアクセスできるすべてのシステムで実行できます。

要件

ldap3モジュールをインストールします

pip3 install ldap3

ローテーション用のレコードを準備

ローテーション用のレコードを作成

ローテーションは、従来のレコードにもタイプ指定されたレコードにも対応しています。 タイプ指定されたレコードを使用する場合は、「パスワード」タイプのフィールドが必要です。 ローテーションの種類に応じて、その他のフィールドを追加することもできます。 以下の手順をご参照ください。

従来のレコードとタイプ指定されたレコードの詳細は、トラブルシューティング セクションをご参照ください。

パスワードフィールドを設定

Keeperのレコードの「パスワード」フィールドにユーザーの現在のパスワードを入力します。

ホスト名とポートを設定

タイプ指定されていないレコードを使用する場合は、ホストとポートをカスタムフィールドに設定できます。以下をご参照ください。

ローテーションのプラグインが指定されていない場合、コマンダーはポート番号で使用するローテーションを推測します。 ポート389はADローテーションを使用します

以下の必須フィールドを追加

ADローテーションには、以下のフィールドが必要です。ラベルを指定して各フィールドを作成し、必要な情報を入力します。

ラベル	値	コメント
cmdr:use_ssl	TrueまたはFalse	ADサーバーへのSSL接続を使用するか否か
cmdr:userdn		パスワードをローテーションするADユーザーの識別名

その他のローテーション設定

ローテーションパラメータをカスタマイズできる値は以下のとおりです。 これらのオプションをテキストフィールドとしてレコードに追加し、表に示すように、パラメータに相当するラベルを設定します。

ラベル	値	コメント
cmdr:plugin	adpasswd
cmdr:host		ADサーバーのホスト名またはIPアドレス
cmdr:port		オプション: ADサーバーのポート番号。デフォルト値: 389
cmdr:rules		オプションのパスワードの複雑度ルール

レコードのローテーション

Active Directoryのパスワードをローテーションするには、コマンダーでrotateコマンドを使用します。 コマンドにレコードタイトルもしくはUIDを渡します (複数のレコードを1度にローテーションさせるには、正規表現で--matchを使用します)。

rotate "AD Password Rotator" --plugin adpasswd

プラグインは、こちらに示すようにコマンドに指定することも、レコードのフィールドに追加することもできます (上記のオプションを参照)。レコードにプラグインタイプを追加すると、プラグインの異なる複数のレコードを1度にローテーションできます。

注意事項とトラブルシューティング:

Keeperの「Login」フィールドは、このプラグインでは使用されません。ユーザーは、cmdr:userdnカスタムフィールドで識別されます。

「ADサーバーへの接続中にエラーが発生しました」というエラーが表示された場合は、以下の手順をお試しください。

• ADがTLSを使用した安全なバインドをサポートしていることを確認します。証明書は、必要に応じて自己署名にすることができます。

• 「パスワードの最小有効期間」グループポリシーを無効にします。デフォルトでは1日に設定されています。

• ホストサーバーへの接続を検証し、アクセス可能であることを確認します。Softerra LDAPブラウザなどのツールをダウンロードして、Active Directoryに接続できるかテストします。

• 識別名cmdr:userdnが正しく設定されていることを確認します。完全に正確であることが必要です。正確でないと接続に失敗します。この値は、Softerra LDAPブラウザソフトウェアで確認してもよいですし、ADサーバーで以下のコマンドプロンプトユーティリティを実行してもよいです。

C:\Users\craig>dsquery user -name Craig*
"CN=Craig Lurey,CN=Users,DC=keeper,DC=test,DC=keepersecurity,DC=com"

このシナリオでCraigとして接続する場合は、cmdr:userdnカスタムフィールドにこの正確な文字列（引用符なし）が含まれていることを確認します。

Active Directoryに接続

Microsoft Active Directoryでパスワードを変更するには、SSL接続が必要です。以下のリンクでは、Active Directoryへの安全な接続を設定する方法が説明されています。

https://blogs.msdn.microsoft.com/microsoftrservertigerteam/2017/04/10/step-by-step-guide-to-setup-ldaps-on-windows-server/