認証方式

概要

Keeperの接続は、以下のいずれかの方法で認証できます。

接続用認証情報 PAMマシン、PAMデータベース、またはPAMディレクトリのレコードタイプに直接設定された「接続用認証情報」を使用して、ターゲットへのセッションが認証されます。ユーザーは接続のためにこの認証情報にアクセスする必要はありません。

個人用認証情報 「ユーザーがボルトから認証情報を選択できるようにする」が有効な場合、ユーザーは自分のKeeperボルトに安全に保存されている個人あるいはプライベート認証情報を使って、ターゲットへのセッションを認証できます。

一時的アカウント PAMマシンまたはPAMデータベースのリソースで一時的アカウント機能が有効になっている場合、セッション専用の、システムが生成する時間制限付きの特権アカウントが作成されます。このアカウントはセッション終了後に自動的に削除され、常設の特権が排除されます。この方式は、対象のシステムに永続的なアカウントを残さず、ジャストインタイムアクセスを実現するために使用されます。

接続用認証情報

PAMマシン、PAMデータベース、またはPAMディレクトリのレコードタイプで接続用認証情報を設定すると、対象システムへのセッションは設定された接続用認証情報を使用して認証されます。

接続用認証情報の構成手順

1. PAMマシン、PAMデータベース、またはPAMディレクトリのいずれかのレコードタイプを開き、[PAM設定] に移動します。

2. [接続] タブを開きます。

3. [接続用認証情報] ドロップダウンで、接続に使用するPAMユーザーレコードを選択します。

1. 接続用認証情報を設定したら、[更新] をクリックしてPAM設定を閉じ、レコードを保存します。

2. 「セッション終了時に接続用認証情報をローテーションする」のチェックボックスを有効にすると、各セッションの終了後に接続用認証情報が自動でローテーションされます。

接続用認証情報を設定すると、該当のPAMレコードタイプには使用中の接続用認証情報が表示されます。

個人用認証情報

PAMマシン、PAMデータベース、およびPAMディレクトリの各レコードタイプでは、ユーザーが自身のKeeperボルトに保存された個人用またはプライベートな認証情報を使用してセッションを認証できるように設定できます。これを有効にすると、ユーザーはセッション開始時に自身のKeeperボルトから認証情報を選択できるようになります。

ユーザーによる自身の認証情報の使用を許可するには、以下の手順に従います。

1. PAMマシン、PAMデータベース、またはPAMディレクトリのレコードタイプでPAM設定を開きます。

2. [接続]タブに移動します。

3. 「ボルトから認証情報を選択できるようにする」のチェックボックスを有効にします。

1. 手順3を有効にしたら、[更新] をクリックしてPAM設定を閉じ、レコードを保存します。

ユーザーが起動ボタンをクリックすると、自身のKeeperボルトから認証情報を選択するオプションが表示されます。

一時的アカウント

PAMマシン、PAMデータベース、PAMディレクトリの各レコードタイプは、一時的アカウントを使用してセッションを認証できるように設定できます。

一時的アカウントとは、セッション専用に作成されるシステム生成の一時的な特権アカウントであり、セッション終了後に自動的に削除されます。この方法は、対象システム上に永続的なアカウントを残さずに利用できる、ジャストインタイムアクセスに使用されます。

一時的アカウントを有効にする手順

1. PAMマシン、PAMデータベース、またはPAMディレクトリレコードタイプでPAM設定を開きます。

2. [JIT] タブに移動します。

3. [接続用に一時的アカウントを作成する] を有効にします。 ※マシンの場合、ユーザーを生成する対象システムのタイプ (例: Linux) を指定する必要があります。Linux用の一時的アカウントはLinuxユーザーになります。

4. (任意) [接続中にアカウントを昇格させる] を有効にすると、認証に使用されるアカウントを指定のグループやロールに昇格できます。グループまたはロールは有効なものである必要があります。

1. 上記の設定を有効にしたら、[更新] をクリックしてPAM設定を閉じ、レコードを保存します。レコードは以下のように表示されるはずです。

プロトコル構成

使用しているプロトコルに関する追加の設定詳細については、こちらのページをご覧ください。