概要

特権昇格および委任管理 (PEDM) ソリューション

エンドポイント特権マネージャー

はじめに

Keeperエンドポイント特権マネージャーは、IT環境全体で安全なジャストインタイム特権アクセスを提供する高度な特権昇格および委任管理 (PEDM) ソリューションです。

このセクションでは、エンドポイント特権マネージャーのセットアップ、導入、管理方法について取り扱います。

エンドポイント特権マネージャーを導入することで、最小特権ポリシーを強化し、恒常的な管理者権限を排除し、プロセスおよびマシンレベルでジャストインタイムアクセスを提供できます。これにより、データ侵害やサイバー攻撃から守ります。

エンドポイント特権マネージャーについて詳しくはカスタマーサクセスチームまでお問い合わせください。

---

ソリューション概要

以下のような特権管理を通じてエンドポイントを保護するための強力な機能を備えています。

• Windows、Linux、macOSのエンドポイントに対応したエージェントベースの展開

• すべてのデスクトップおよびサーバーに対する最小特権管理

• すべての展開環境での恒常的なローカル管理者権限の排除

• 詳細なアクセス制御のためのプロセスレベルの特権管理

• プロセスおよびマシンレベルでのジャストインタイム (JIT) アクセス

• 承認およびエスカレーションワークフロー付きの昇格リクエスト

• 組織のリスク許容度に基づく柔軟なポリシー管理

• SPIFFEおよびMQTTプロトコルを活用した標準ベースのアーキテクチャ

ゼロスタンディング特権 (ZSP)

エンドポイント特権マネージャーの「最小特権」ポリシーにより、すべての管理対象デバイス（Windows、macOS、Linux）でユーザーはローカル管理者権限を削除されます。Windowsデバイスでは、ユーザーはローカル管理者グループから削除され、macOSおよびLinuxではsudoから削除されます。特権コマンドは、エンドポイント特権マネージャーで管理される一時的なアカウントを使って実行され、一時的なロールが割り当てられます。

ダッシュボード

デフォルトのダッシュボードには、監視モードのイベントを含むすべての最新イベントが表示されます。ダッシュボードから、特権マネージャーの主要な機能にアクセスします。

• リクエスト: 管理者の対応が必要なすべての昇格イベントを処理

• デプロイメント: Keeperエージェントをすべてのエンドポイントに配信

• コレクション: ポリシー適用のためのマシンおよびユーザーグループの管理

• ポリシー: デバイス全体で最小特権アクセスを適用

Keeper特権マネージャー

KeeperPAMプラットフォーム内の特権マネージャー

特権マネージャーは、包括的なKeeperPAMプラットフォーム内に統合された新しいサービスです。KeeperPAMは、特権アクセス管理のためのプラットフォームで、複数のサービスがご利用になれます。

• パスワード管理: 認証情報の安全な保存とローテーション

• シークレット管理: アプリケーションのシークレットやAPIキーの管理

• ゼロトラストネットワークアクセス: 安全で検証済みのリモート接続

• 接続管理: リモートシステムへの効率的なアクセス

• セキュアトンネリング: 機密リソースへの経路を保護

特権マネージャーでKeeperPAMの機能が拡張され、エンドポイントでのローカル特権昇格に対処します。他のKeeperPAMサービスがユーザーがシステムやリソースに接続する方法を保護するのに対し、特権マネージャーは、ユーザーがシステム上で作業している際に持つ特権を管理します。

例えば、管理者がKeeperPAMの接続機能を使ってサーバーに安全にアクセスした後、特権マネージャーがそのサーバーでのローカル管理者権限を制御します。同様に、特権マネージャーがエンドユーザーのワークステーションでの日常的な特権昇格リクエストを管理することで、恒常的なローカル管理者権限を排除し、ジャストインタイム昇格を通じて必要な操作が可能になります。

エンドユーザー体験

Keeperエージェントを実行しているユーザーは、自身のデバイスに適用されているポリシーを確認し、承認状況や特権昇格リクエストを監視できるインターフェースを利用できます。KeeperエージェントのUIは、Windows、macOS、Linuxの各デバイスで使用可能です。

Windows

macOS

Linux (GNOME)

GNOMEを実行しているLinuxデバイス

---

コマンドライン

macOSおよびLinuxのエンドポイントでは、Keeperは「コマンドラインポリシー」タイプを通じてsudoによる権限昇格を保護します。以下のスクリーンショットに示すように、リクエストを昇格させるために keepersudo という新しい昇格コマンドが使用されます。

GNOMEを実行しているLinuxデスクトップ

以下の例では、ユーザーがrootへの権限昇格をリクエストし、管理者によってアクセスが承認されます。

権限昇格リクエスト中のLinuxのSSHセッション

権限昇格の承認

管理者による権限昇格の承認は、Keeper管理コンソール、コマンダーCLI、またはその他の連携アプリケーション上で実行されます。

特権昇格

Windowsでの特権昇格リクエストの承認

コマンドライン (sudo) 承認

コマンドラインでの権限昇格リクエストの承認

本ガイドについて

以下のセクションをご参照ください。

• セットアップ

• 導入

• ポリシー

• リクエストの管理