LogoLogo
KeeperPAMとシークレットマネージャー
KeeperPAMとシークレットマネージャー
  • KeeperPAM
  • 特権アクセス管理
    • セットアップ手順
    • クイックスタート (Sandbox)
    • はじめに
      • アーキテクチャ
        • アーキテクチャ図
        • ボルト (保管庫) のセキュリティ
        • ルータのセキュリティ
        • ゲートウェイのセキュリティ
        • 接続とトンネルのセキュリティ
      • KeeperPAMのライセンス
      • 強制適用ポリシー
      • ボルトの構造
      • レコードリンク
      • アプリケーション
      • デバイス
      • ゲートウェイ
        • ゲートウェイの作成
        • Dockerにインストール
        • Linuxにインストール
        • Windowsにインストール
        • 自動アップデータ
        • 高度な設定
          • AWS KMSでのゲートウェイ構成
          • カスタムフィールドを使用したゲートウェイ構成
      • PAM構成
        • AWS環境のセットアップ
        • Azure環境のセットアップ
        • ローカル環境のセットアップ
      • PAMリソース
        • PAMマシン
          • Linuxマシンの例
          • Azure仮想マシンの例
        • PAMデータベース
          • MySQLデータベースの例
          • PostgreSQLデータベースの例
          • Microsoft SQL Serverデータベースの例
        • PAMディレクトリ
        • PAMリモートブラウザ
        • PAMユーザー
      • アクセス制御
      • ジャストインタイムアクセス (JIT)
    • パスワードローテーション
      • ローテーションの概要
      • ローテーションの活用事例
        • ローカルネットワーク
          • Active DirectorユーザーまたはOpenLDAPユーザー
          • Windowsユーザー
          • Linuxユーザー
          • macOSユーザー
          • データベース
            • ネイティブMySQL
            • ネイティブMariaDB
            • ネイティブPostgreSQL
            • ネイティブMongoDB
            • ネイティブMS SQL Server
            • ネイティブOracle
        • Azure
          • Azure ADユーザー
          • Azure VMユーザーアカウント
          • Azureマネージドデータベース
            • Azure SQL
            • Azure MySQL - シングル/フレキシブルデータベース
            • Azure MariaDBデータベース
            • Azure PostgreSQL - シングル/フレキシブルデータベース
          • Azureアプリケーションシークレットローテーション
        • AWS
          • IAMユーザーのパスワード
          • Managed Microsoft ADユーザー
          • EC2仮想マシンユーザー
          • IAMユーザーのアクセスキー
          • マネージドデータベース
            • AWS RDS for MySQL
            • AWS RDS for SQL Server
            • AWS RDS for PostgreSQL
            • AWS RDS for MariaDB
            • AWS RDS for Oracle
        • SaaSローテーションプラグイン
        • カスタムスクリプト
          • Oktaユーザー
          • Snowflakeユーザー
          • REST APIを使用した認証情報のローテーション
          • Cisco IOS XE
          • Cisco Meraki
      • サービス管理
      • ポストローテーションスクリプト
        • 入力と出力
        • スクリプトの添付
        • コード例
    • 接続 (コネクション)
      • はじめに
      • セッションプロトコル
        • SSH接続
        • RDP接続
        • MySQL接続
        • SQL Server接続
        • PostgreSQL接続
        • VNC接続
        • Telnet接続
        • Kubernetes
        • RBI接続
      • 具体例
        • SSHプロトコル - Linuxマシン
        • RDPプロトコル - Azure仮想マシン
        • MySQLプロトコル - MySQLデータベース
        • PostgreSQLプロトコル - PostgreSQLデータベース
    • トンネル
      • トンネルの設定
    • リモートブラウザ分離
      • リモートブラウザ分離の設定
        • URLパターンとリソースURLパターン
        • ブラウザの自動入力
    • セッションのレコーディングと再生
    • SSHエージェント
      • Gitとの統合
    • 検出 (ディスカバリー)
      • 検出の基本
      • コマンダーを使用した検出
      • ボルトを使用した検出
    • KeeperAI
    • オンプレミス用コネクションマネージャー
    • 参考資料
      • ポートマッピング
      • SSHの設定
      • WinRMを設定
      • ゲートウェイネットワーク構成
      • SQL Serverのセットアップ
      • データベースのインポートとエクスポート
      • Linuxへのsqlcmdのインストール
      • LinuxでのDockerインストール
      • ローテーション用のKSMアプリの作成
      • Active Directoryの最小権限
      • イベントレポート
      • PAMレコードのインポート
      • CLIによるローテーション管理
      • ITSMとの統合
      • ベンダー特権アクセス管理
      • Commander SDK
      • Cron式で自動ローテーション設定
      • プレビュー版へのアクセス方法
  • エンドポイント特権マネージャー
    • 概要
  • セットアップ
  • デプロイメント (展開)
  • コレクション
  • ポリシー
    • ポリシーの例
  • リクエストの管理
  • ベストプラクティス
  • よくある質問
  • シークレットマネージャー
    • 概要
    • クイックスタートガイド
    • Keeperシークレットマネージャー (KSM) について
      • アーキテクチャ
      • 用語
      • セキュリティと暗号化モデル
      • ワンタイムアクセストークン
      • シークレットマネージャーの構成
      • Keeper表記法
      • イベントレポート
      • フィールド/レコードタイプ
    • シークレットマネージャーCLI
      • profileコマンド
      • initコマンド
      • secretコマンド
      • folderコマンド
      • syncコマンド
      • execコマンド
      • configコマンド
      • versionコマンド
      • 各種コマンド
      • Dockerコンテナ
      • カスタムのレコードタイプ
    • パスワードローテーション
    • 開発者用SDK
      • Python SDK
      • Java/Kotlin SDK
        • レコードフィールドクラス
      • JavaScript SDK
      • .NET SDK
      • Go SDK
        • レコードフィールドクラス
      • PowerShell
      • ボルトのSDK
    • 統合機能
      • Ansible
        • Ansibleプラグイン
        • Ansible Tower
      • AWS CLI認証プロセス
      • AWSシークレットマネージャー同期
      • AWS KMSでの暗号化
      • Azure DevOps拡張機能
      • Azure Key Vaultとの同期
      • Azure Key Vaultでの暗号化
      • Bitbucketプラグイン
      • Dockerイメージ
      • Dockerランタイム
      • Docker Writerイメージ
      • Entrust HSM
      • Git - SSHでコミットに署名
      • GitHub Actions
      • GitLab
      • Google Cloud Secret Managerとの同期
      • Google Cloud Key Managementでの暗号化
      • Hashicorp Vault
      • Heroku
      • Jenkinsプラグイン
      • Keeperコネクションマネージャー
      • Kubernetes外部シークレットオペレータ
      • Kubernetes
      • Linux Keyring
      • AIエージェント向けModel Context Protocol (MCP) – Docker版
      • AIエージェント向けModel Context Protocol (MCP) – Node版
      • Octopus Deploy
      • Oracle Key Vaultでの暗号化
      • PowerShellプラグイン
      • ServiceNow
      • TeamCity
      • Teller
      • Terraformプラグイン
        • Terraformレジストリ
      • Windows資格情報マネージャー
      • XSOAR
    • トラブルシューティング
  • コマンダーCLI
    • コマンダーの概要
    • インストールとセットアップ
      • WindowsでのCLIインストール
      • MacでのCLIインストール
      • LinuxでのCLIインストール
      • Python開発者用セットアップ
      • .NET開発者用セットアップ
      • PowerShellモジュール
      • ログイン
      • 設定と使用法
        • AWS Secrets Manager
        • AWS Key Management Service
      • Windowsタスクによる自動化
      • AWS Lambdaで自動化
      • アンインストール
    • コマンドリファレンス
      • データのインポートとエクスポート
        • インポート/エクスポートコマンド
        • CyberArkからのインポート
        • LastPassデータのインポート
        • Delinea/Thycotic Secret Serverインポート
        • Keepassインポート
        • ManageEngineインポート
        • Mykiインポート
        • Proton Passインポート
        • CSVインポート
        • JSONインポート
      • レポート作成コマンド
        • レポートの種類
      • エンタープライズ管理コマンド
        • ユーザーの作成と招待
        • コンプライアンスコマンド
        • Breachwatchコマンド
        • SCIMプッシュ配信設定
      • レコードに関するコマンド
        • レコードタイプに関するコマンド
        • レコードタイプの作成
      • 共有コマンド
      • KeeperPAMコマンド
      • 接続コマンド
        • SSH
        • SSHエージェント
        • RDP
        • connectコマンド
        • SFTP同期
      • シークレットマネージャーコマンド
      • MSP管理コマンド
      • 各種コマンド
      • パスワードローテーション
        • パスワードローテーションコマンド
        • AWSプラグイン
        • Azureプラグイン
        • Microsoft SQL Serverのプラグイン
        • MySQLプラグイン
        • Oracleプラグイン
        • PostgreSQLプラグイン
        • PSPasswdプラグイン
        • SSHプラグイン
        • Unix Passwdプラグイン
        • Windowsプラグイン
        • Active Directoryプラグイン
        • 自動実行
    • サービスモードREST API
    • トラブルシューティング
GitBook提供
このページ内
  • 概要
  • Keeperシークレットマネージャーのコマンド
  • APIフローの例
  • アプリケーションを作成
  • 新しいシークレットを作成
  • フォルダをシークレットマネージャーアプリケーションで共有
  • クライアントにアプリケーションへのアクセスを許可
  • すべてのアプリケーションの一覧を取得
  • 個々のアプリケーションの詳細を表示
  • コマンド
  • secrets-manager app createコマンド
  • secrets-manager app getコマンド
  • secrets-manager app removeコマンド
  • secrets-manager app shareコマンド
  • secrets-manager app unshareコマンド
  • secrets-manager app listコマンド
  • secrets-manager share addコマンド
  • secrets-manager share removeコマンド
  • secrets-manager client addコマンド
  • secrets-manager client removeコマンド
GitHubで編集
  1. コマンダーCLI
  2. コマンドリファレンス

シークレットマネージャーコマンド

Keeperシークレットマネージャープラットフォームを設定および管理するコマンド

概要

Keeperシークレットマネージャーは、DevOpsチームとエンジニアリングチームが特権アカウントへのアクセスを一元的に管理および制御するための、クラウドベースのゼロ知識プラットフォームです。以下は、シークレットマネージャーの一般的な使用例となります。

  • ソースコード、設定ファイル、CI/CDシステムからのハードコードされたクレデンシャルの削除

  • 特権パスワード、APIキー、およびその他の管理対象シークレットへのアクセス保護

  • マシンやアプリケーションへのボルトアクセスの提供

  • オンデマンドで、またはスケジュールを組んでサービスアカウントの認証情報をローテーション

Keeperシークレットマネージャーでは、Keeperボルト内の特定のフォルダにアクセスする必要のある各対象環境に対して「アプリケーション」が作成されます。 アプリケーションに対して、ボルト内の1つまたは複数の共有フォルダやレコードへのアクセス権を付与できます。アプリケーションは、1つまたは複数の「クライアント」から利用できます。クライアントはシークレットマネージャーインフラストラクチャによって個別に認証および管理されます。

たとえば、Keeperの「アプリケーション」が運用システムとなり、運用システム内の個々のウェブサーバーがクライアントになる場合もあります。各クライアントは、リクエストの署名に使用するクライアントIDと秘密鍵を使用して、Keeperボルトに対して認証されて通信します。

本ページのコマンドを使用して、Keeperシークレットマネージャーアプリケーションとクライアントデバイスを設定します。

Keeperシークレットマネージャーのコマンド

対話型シェル、CLI、JSON構成ファイルのいずれを使用する場合でも、以下のコマンドがサポートされており、各コマンドでは追加のパラメータとオプションがご利用になれます。

特定のコマンドに関するヘルプを表示するには、以下のように入力します。

bashCopyEdithelp <コマンド名>

コマンド形式

Keeperシークレットマネージャーのコマンドは、以下の形式に従います。

php-templateCopyEditsecrets-manager <コマンド> <サブコマンド>

たとえば、すべてのアプリケーションを一覧表示するには、以下のコマンドを実行します。

CopyEditsecrets-manager app list

以下は、すべてのsecrets-managerコマンドとその詳細の一覧です。

コマンド
説明

secrets-manager app list

アプリケーション一覧を表示。App UID、最終アクセス日時、割り当てられたレコード/フォルダ数を確認可能。

secrets-manager app get

アプリケーションの詳細情報 (デバイス情報を含む) を取得。

secrets-manager app create

新しいアプリケーションを作成。

secrets-manager app remove

アプリケーションを削除。

secrets-manager app share

アプリケーションおよび関連ゲートウェイ/構成を他のユーザーと共有。

secrets-manager app unshare

ユーザーからアプリケーションの共有を解除。

secrets-manager client add

アプリケーションに関連付けられたデバイスまたはマシンIDを作成。

secrets-manager client remove

デバイスを削除。

secrets-manager share add

フォルダまたはレコードをアプリケーションに関連付け。

secrets-manager share remove

アプリケーションからフォルダまたはレコードの関連付けを解除。


APIフローの例

以下は、アプリケーションの作成、シークレットの割り当て、マシンデバイスの作成を行う一連のAPI操作例です。

アプリケーションを作成

secrets-manager app create <APPLICATION NAME>

My Vault> secrets-manager app create MyApplication

新しいシークレットを作成

ボルトのユーザーインターフェースから実行できますが、ここではシークレットを作成し、共有フォルダを作成してから、そのシークレットを共有フォルダに移動することにします。以下はコマンドの例です。

My Vault> add --login admin --pass "46$$625" --url "192.168.1.1" -t "Test Secret"
My Vault> mkdir -sf -a "My Shared Folder"
My Vault> mv "Test Secret" "My Shared Folder"

フォルダをシークレットマネージャーアプリケーションで共有

My Vault> secrets-manager share add --app MyApplication --secret n4QtaKjRjhWMz5aS7bT77Q

共有フォルダまたはレコードUIDを検索するには、「ls -l」コマンドまたは「info」ダイアログのボルトのユーザーインターフェースを使用します。

クライアントにアプリケーションへのアクセスを許可

My Vault> secrets-manager client add MyApplication

このコマンドの出力から、クライアントで使用するワンタイムアクセストークンが得られます。

すべてのアプリケーションの一覧を取得

secrets-manager app list

My Vault> secrets-manager app list

List of all Applications

Title      Uid
---------  ----------------------
PythonApp  oXMfwo-hzZNRqMXGvJlccQ
TestApp    KtU4eAzor5IpqRW3x4A8FA

個々のアプリケーションの詳細を表示

secrets-manager app get <APPLICATION NAME|APP UID>

My Vault> secrets-manager app get MyApplication

Secrets Manager Application
App Name:MyApplication
App UID: ji__h4gaY3xvQdatVY_ffA

Client Device 1
=============================
  Name:Device1
  Short ID: nWThUIbR
  Created On:2021-10-11 16:26:21
  First Access:2021-10-11 16:27:05
  Last Access:2021-10-11 16:49:47
  IP Lock:Disabled
  IP Address: --

Application Access
Share Type    UID                     Title                   Permissions
------------  ----------------------  ----------------------  -------------
FOLDER        J6xMIXKiwMqIyYJL7kd3xw  Secrets                 Editable
RECORD        mux0ZaWKd-h8maggFzy1rw  Database Login          Read-Only

コマンド

secrets-manager app createコマンド

コマンド: secrets-manager app create

詳細: クライアントをシークレットに関連付けるために使用する新しいアプリケーションを作成します

パラメータ:

アプリケーションの名前

例:

My Vault> secrets-manager app create PythonApp
Application was added successfully

secrets-manager app getコマンド

コマンド: secrets-manager app get

詳細: 指定したアプリケーションに関する情報を表示します

パラメータ:

アプリケーションの名前またはUID

例:

My Vault> secrets-manager app get PythonApp

Secrets Manager Application
App Name:PythonApp
App UID: ji__hxgaY3xvQdefVY_ffA

Client Device 1
=============================
  Name:Device1
  Short ID: nWThUIbR
  Created On:2021-10-11 16:26:21
  First Access:2021-10-11 16:27:05
  Last Access:2021-10-11 16:49:47
  IP Lock:Disabled
  IP Address: --

Application Access
Share Type    UID                     Title                   Permissions
------------  ----------------------  ----------------------  -------------
FOLDER        J62WIXgJwMqIyYJL7kd3xw  Secrets                 Editable
RECORD        mux0ZaWKd-vpmaggFzLkrw  Database Login          Read-Only

secrets-manager app removeコマンド

コマンド: secrets-manager app remove

詳細: アプリケーションを削除します

パラメータ:

アプリケーションの名前またはUID

例:

My Vault> secrets-manager app remove PythonApp

This Application (uid:2lj-PaoQp281mTV7GWK5Bw) has 5 client(s), 1 shared folder(s), and 10 record(s).
	Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:2lj-PaoQp281mTV7GWK5Bw

My Vault> secrets-manager app remove KtU4eAzor5IpqRW3x4A8FA
This Application (uid:KtU4eAzor5IpqRW3x4A8FA) has 12 client(s), 1 shared folder(s), and 4 record(s).
	Are you sure you want to delete this application [y/n]: >? y
>? y
Removed Application uid:KtU4eAzor5IpqRW3x4A8FA

secrets-manager app shareコマンド

アプリケーションを他のユーザーと共有することで、そのユーザーは関連するゲートウェイ、デバイス、フォルダへのアクセスが可能になります。

  • コマンド secrets-manager app share

  • 概要 アプリケーションと、それに関連するゲートウェイおよび構成を別のユーザーと共有します。

  • パラメータ

    • アプリケーションの名前またはUID

    • 共有相手のメールアドレス

  • 使用例

    secrets-manager app share KtU4eAzor5IpqRW3x4A8FA --email user@company.com

secrets-manager app unshareコマンド

  • コマンド secrets-manager app unshare

  • 概要 指定したユーザーに対するアプリケーションの共有を解除します。

  • パラメータ

    • アプリケーションの名前またはUID

    • 共有を解除する対象ユーザーのメールアドレス

  • 使用例

    secrets-manager app unshare KtU4eAzor5IpqRW3x4A8FA --email user@company.com

secrets-manager app listコマンド

コマンド: secrets-manager app list

詳細: すべての作成済みアプリケーションを一覧表示します

例:

My Vault> secrets-manager app list

List of all Applications

Title      Uid
---------  ----------------------
PythonApp  oXMfwo-hzZNRqMXGvJlccQ
TestApp    KtU4eAzor5IpqRW3x4A8FA

secrets-manager share addコマンド

コマンド: secrets-manager share add

詳細: シークレット (レコードまたは共有フォルダ) をアプリケーションに追加します

スイッチ:

--secret、-s <シークレットのUID> 共有するシークレット。フォルダまたはレコードUIDを指定できます

--app、-a 共有先のアプリケーション

--editable、-e レコードの編集を許可します

例:

My Vault> secrets-manager share add --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Successfully added new record uid=E7YS6Yqmhsip52DzwdC9gw to app uid=oXMfwo-hzZNRqMXGvJlccQ

secrets-manager share removeコマンド

コマンド: secrets-manager share remove

詳細: シークレット (レコードまたは共有フォルダ) をアプリケーションから削除します

スイッチ:

--secret、-s <シークレットのUID> 共有するシークレット。フォルダまたはレコードUIDを指定できます

--app、-a 共有先のアプリケーション

例:

My Vault> secrets-manager share remove --app PythonApp --secret="-XMfwo-hzZNRqMXGvJlccQ"
Secret share was successfully removed from the application

secrets-manager client addコマンド

コマンド: secrets-manager client add

詳細: アプリケーションへの接続に使用するクライアントをアプリケーションに追加します。このコマンドの出力は、シークレットマネージャーSDKを使用してクライアントデバイスを初期化するために使用するワンタイムトークンです。

スイッチ:

--name <クライアント名> クライアント名 (デフォルトはランダムな10文字)

--first-access-expires-in-min <分> 初回アクセスの有効期間 (デフォルトは60

、最大は1440)

--access-expire-in-min <分> クライアントアクセスの有効期間 (デフォルトは無期限)

--unlock-ip 最初に要求するデバイスに対してIPアドレスをロックしません

--count <数> 生成するトークンの数 (デフォルトは1)

--config-init <{json、b64、k8s}> ワンタイムトークンから設定文字列を初期化します

--name <名前> クライアントの名前

例 1. 「Test 1」という名前の新しいデバイスを作成し、ワンタイムアクセストークンを生成します。

My Vault> sm client add --app Ansible --name "Test 1"

Successfully generated Client Device
====================================
One-Time Access Token:US:_wYNCeeLmBSdDgkcE77NyMcO-6DqLutNO1NylWVyco
Name:Test 1
IP Lock:Enabled
Token Expires On:2021-09-30 22:52:46
App Access Expires on:Never

例 2. 「Test 2」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたJSON設定ファイルを生成します。この設定ファイルは、デバイスに直接読み込めます。

My Vault> sm client add --app Ansible --name "Test 2" --unlock-ip --config-init=json                                                                                    

Successfully generated Client Device
====================================

Initialized Config: {"hostname": "keepersecurity.com","clientId":"XXX","privateKey":"XXX","serverPublicKeyId":"10","appKey":"XXX"}
Name:Test 2
IP Lock:Disabled
Token Expires On:2021-09-30 22:54:11
App Access Expires on:Never

例 3. 「Test 3」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたbase64設定文字列を生成します。この設定ファイルは、JSON設定ファイルを使用する代わりに、単一の文字列としてデバイスに読み込めます。

My Vault> sm client add --app Ansible --name "Test 3" --unlock-ip --config-init=b64                                                                                    

Initialized Config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
Name:Test 3
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Never

例 4. 「Test 4」という名前の新しいデバイスを作成し、IPロックなしの完全に初期化されたKubernetes設定を生成します。YAML出力は、ファイルにカットアンドペーストして適用し、Kubernetesシークレットとして作成できます。

My Vault> sm client add --app Nginx --name "Test 4" --unlock-ip --config-init=k8s                                                                                

apiVersion: v1
data:
  config: eyJob3N0bmFtJjbGllbnRJZCI6I3lHbXZodUZFITEhBbDhBRmVHK1owSDcrN2czOVMvNGkvTU1lcVhhVi92cTc4S3FqM2VuZkdtQkQzNmhsQT09IiweXFHU000OUFnRUdDQ3FHU000OUF3RUhCRzB3YXdJQkFRUWdqN2diVXM2bXVl0bXA0WjlnR0ttaFJBTkNBQVNrdTZCN3dPclpXSGdhR1lzNE1uRGNyZE5xdXYyRkYmNQWTF3S090ZHppME03c05PTnA4cXppU0VLejhUUGVTIiwic2VydmVyUHVibGljS2V5SWQiOiAiMTAiLCJhcHBLZXkiOiAiUFlqdlcrVTqdUljdUh6UzJHcz0ifQ==
kind:Secret
metadata:
  name: ksm-config
  namespace: default
type:Opaque

Name:Test 4
IP Lock:Disabled
Token Expires On:2021-09-30 22:59:09
App Access Expires on:Never

secrets-manager client removeコマンド

コマンド: secrets-manager client remove

詳細: アプリケーションからクライアントを削除します

スイッチ:

--client アプリケーションから削除するクライアント

--app、-a アプリケーション

--force 承認を求めません

例:

My Vault> secrets-manager client remove --app PythonApp --client MyClient
Are you sure you want to delete 3 matching clients from this application? [y/n]:
>? y
Client removal was successful
前へSFTP同期次へMSP管理コマンド

最終更新 1 日前