LogoLogo
KeeperPAMとシークレットマネージャー
KeeperPAMとシークレットマネージャー
  • KeeperPAM
  • 特権アクセス管理
    • セットアップ手順
    • クイックスタート (Sandbox)
    • はじめに
      • アーキテクチャ
        • アーキテクチャ図
        • ボルト (保管庫) のセキュリティ
        • ルータのセキュリティ
        • ゲートウェイのセキュリティ
        • 接続とトンネルのセキュリティ
      • KeeperPAMのライセンス
      • 強制適用ポリシー
      • ボルトの構造
      • レコードリンク
      • アプリケーション
      • デバイス
      • ゲートウェイ
        • ゲートウェイの作成
        • Dockerにインストール
        • Linuxにインストール
        • Windowsにインストール
        • 自動アップデータ
        • 高度な設定
          • AWS KMSでのゲートウェイ構成
          • カスタムフィールドを使用したゲートウェイ構成
      • PAM構成
        • AWS環境のセットアップ
        • Azure環境のセットアップ
        • ローカル環境のセットアップ
      • PAMリソース
        • PAMマシン
          • Linuxマシンの例
          • Azure仮想マシンの例
        • PAMデータベース
          • MySQLデータベースの例
          • PostgreSQLデータベースの例
          • Microsoft SQL Serverデータベースの例
        • PAMディレクトリ
        • PAMリモートブラウザ
        • PAMユーザー
      • アクセス制御
      • ジャストインタイムアクセス (JIT)
    • パスワードローテーション
      • ローテーションの概要
      • ローテーションの活用事例
        • ローカルネットワーク
          • Active DirectorユーザーまたはOpenLDAPユーザー
          • Windowsユーザー
          • Linuxユーザー
          • macOSユーザー
          • データベース
            • ネイティブMySQL
            • ネイティブMariaDB
            • ネイティブPostgreSQL
            • ネイティブMongoDB
            • ネイティブMS SQL Server
            • ネイティブOracle
        • Azure
          • Azure ADユーザー
          • Azure VMユーザーアカウント
          • Azureマネージドデータベース
            • Azure SQL
            • Azure MySQL - シングル/フレキシブルデータベース
            • Azure MariaDBデータベース
            • Azure PostgreSQL - シングル/フレキシブルデータベース
          • Azureアプリケーションシークレットローテーション
        • AWS
          • IAMユーザーのパスワード
          • Managed Microsoft ADユーザー
          • EC2仮想マシンユーザー
          • IAMユーザーのアクセスキー
          • マネージドデータベース
            • AWS RDS for MySQL
            • AWS RDS for SQL Server
            • AWS RDS for PostgreSQL
            • AWS RDS for MariaDB
            • AWS RDS for Oracle
        • SaaSローテーションプラグイン
        • カスタムスクリプト
          • Oktaユーザー
          • Snowflakeユーザー
          • REST APIを使用した認証情報のローテーション
          • Cisco IOS XE
          • Cisco Meraki
      • サービス管理
      • ポストローテーションスクリプト
        • 入力と出力
        • スクリプトの添付
        • コード例
    • 接続 (コネクション)
      • はじめに
      • セッションプロトコル
        • SSH接続
        • RDP接続
        • MySQL接続
        • SQL Server接続
        • PostgreSQL接続
        • VNC接続
        • Telnet接続
        • Kubernetes
        • RBI接続
      • 具体例
        • SSHプロトコル - Linuxマシン
        • RDPプロトコル - Azure仮想マシン
        • MySQLプロトコル - MySQLデータベース
        • PostgreSQLプロトコル - PostgreSQLデータベース
    • トンネル
      • トンネルの設定
    • リモートブラウザ分離
      • リモートブラウザ分離の設定
        • URLパターンとリソースURLパターン
        • ブラウザの自動入力
    • セッションのレコーディングと再生
    • SSHエージェント
      • Gitとの統合
    • 検出 (ディスカバリー)
      • 検出の基本
      • コマンダーを使用した検出
      • ボルトを使用した検出
    • KeeperAI
    • オンプレミス用コネクションマネージャー
    • 参考資料
      • ポートマッピング
      • SSHの設定
      • WinRMを設定
      • ゲートウェイネットワーク構成
      • SQL Serverのセットアップ
      • データベースのインポートとエクスポート
      • Linuxへのsqlcmdのインストール
      • LinuxでのDockerインストール
      • ローテーション用のKSMアプリの作成
      • Active Directoryの最小権限
      • イベントレポート
      • PAMレコードのインポート
      • CLIによるローテーション管理
      • ITSMとの統合
      • ベンダー特権アクセス管理
      • Commander SDK
      • Cron式で自動ローテーション設定
      • プレビュー版へのアクセス方法
  • エンドポイント特権マネージャー
    • 概要
  • セットアップ
  • デプロイメント (展開)
  • コレクション
  • ポリシー
    • ポリシーの例
  • リクエストの管理
  • ベストプラクティス
  • よくある質問
  • シークレットマネージャー
    • 概要
    • クイックスタートガイド
    • Keeperシークレットマネージャー (KSM) について
      • アーキテクチャ
      • 用語
      • セキュリティと暗号化モデル
      • ワンタイムアクセストークン
      • シークレットマネージャーの構成
      • Keeper表記法
      • イベントレポート
      • フィールド/レコードタイプ
    • シークレットマネージャーCLI
      • profileコマンド
      • initコマンド
      • secretコマンド
      • folderコマンド
      • syncコマンド
      • execコマンド
      • configコマンド
      • versionコマンド
      • 各種コマンド
      • Dockerコンテナ
      • カスタムのレコードタイプ
    • パスワードローテーション
    • 開発者用SDK
      • Python SDK
      • Java/Kotlin SDK
        • レコードフィールドクラス
      • JavaScript SDK
      • .NET SDK
      • Go SDK
        • レコードフィールドクラス
      • PowerShell
      • ボルトのSDK
    • 統合機能
      • Ansible
        • Ansibleプラグイン
        • Ansible Tower
      • AWS CLI認証プロセス
      • AWSシークレットマネージャー同期
      • AWS KMSでの暗号化
      • Azure DevOps拡張機能
      • Azure Key Vaultとの同期
      • Azure Key Vaultでの暗号化
      • Bitbucketプラグイン
      • Dockerイメージ
      • Dockerランタイム
      • Docker Writerイメージ
      • Entrust HSM
      • Git - SSHでコミットに署名
      • GitHub Actions
      • GitLab
      • Google Cloud Secret Managerとの同期
      • Google Cloud Key Managementでの暗号化
      • Hashicorp Vault
      • Heroku
      • Jenkinsプラグイン
      • Keeperコネクションマネージャー
      • Kubernetes外部シークレットオペレータ
      • Kubernetes
      • Linux Keyring
      • AIエージェント向けModel Context Protocol (MCP) – Docker版
      • AIエージェント向けModel Context Protocol (MCP) – Node版
      • Octopus Deploy
      • Oracle Key Vaultでの暗号化
      • PowerShellプラグイン
      • ServiceNow
      • TeamCity
      • Teller
      • Terraformプラグイン
        • Terraformレジストリ
      • Windows資格情報マネージャー
      • XSOAR
    • トラブルシューティング
  • コマンダーCLI
    • コマンダーの概要
    • インストールとセットアップ
      • WindowsでのCLIインストール
      • MacでのCLIインストール
      • LinuxでのCLIインストール
      • Python開発者用セットアップ
      • .NET開発者用セットアップ
      • PowerShellモジュール
      • ログイン
      • 設定と使用法
        • AWS Secrets Manager
        • AWS Key Management Service
      • Windowsタスクによる自動化
      • AWS Lambdaで自動化
      • アンインストール
    • コマンドリファレンス
      • データのインポートとエクスポート
        • インポート/エクスポートコマンド
        • CyberArkからのインポート
        • LastPassデータのインポート
        • Delinea/Thycotic Secret Serverインポート
        • Keepassインポート
        • ManageEngineインポート
        • Mykiインポート
        • Proton Passインポート
        • CSVインポート
        • JSONインポート
      • レポート作成コマンド
        • レポートの種類
      • エンタープライズ管理コマンド
        • ユーザーの作成と招待
        • コンプライアンスコマンド
        • Breachwatchコマンド
        • SCIMプッシュ配信設定
      • レコードに関するコマンド
        • レコードタイプに関するコマンド
        • レコードタイプの作成
      • 共有コマンド
      • KeeperPAMコマンド
      • 接続コマンド
        • SSH
        • SSHエージェント
        • RDP
        • connectコマンド
        • SFTP同期
      • シークレットマネージャーコマンド
      • MSP管理コマンド
      • 各種コマンド
      • パスワードローテーション
        • パスワードローテーションコマンド
        • AWSプラグイン
        • Azureプラグイン
        • Microsoft SQL Serverのプラグイン
        • MySQLプラグイン
        • Oracleプラグイン
        • PostgreSQLプラグイン
        • PSPasswdプラグイン
        • SSHプラグイン
        • Unix Passwdプラグイン
        • Windowsプラグイン
        • Active Directoryプラグイン
        • 自動実行
    • サービスモードREST API
    • トラブルシューティング
GitBook提供
このページ内
  • ジャストインタイムアクセスとゼロスタンディング特権
  • はじめに
  • JITとZSPの理解
  • 活用事例
  • インフラへのジャストインタイム昇格アクセス
  • PEDMを活用したエンドポイントでのジャストインタイム昇格アクセス
  • 自動ローテーション付きの時間制限アクセス
  • ワークフローと承認リクエスト
  • 実装のベストプラクティス
  • 結論
GitHubで編集
  1. 特権アクセス管理
  2. はじめに

ジャストインタイムアクセス (JIT)

KeeperPAMのジャストインタイムアクセスとゼロスタンディング特権

前へアクセス制御次へパスワードローテーション

最終更新 23 日前

ジャストインタイムアクセスとゼロスタンディング特権

はじめに

KeeperPAMは、組織全体のITインフラおよびエンドポイントにおいて、ゼロスタンディング特権 (ZSP: Zero Standing Privilege) を実現するための包括的なジャストインタイムアクセス (JIT: Just-In-Time Access) 機能が備わっています。JITアクセス制御を導入することで、必要なときに必要な時間だけ特権アクセスを付与することが可能になり、攻撃対象領域を大幅に削減できます。これにより、不正アクセスや権限の悪用リスクを最小限に抑えることができます。

JITとZSPの理解

ジャストインタイム (JIT) アクセス ユーザーに対して、必要なときに、限られた時間だけ特権アクセスを付与する仕組みです。多くの場合、承認フローを伴ってアクセスが付与されます。

ゼロスタンディング特権 (ZSP) ユーザーがシステムに対する永続的な特権アクセスを持たないというセキュリティアプローチです。これにより、特権アカウントが侵害された場合のリスクを根本的に排除できます。

活用事例

KeeperPAMでは、さまざまな状況に対応したジャストインタイム (JIT) アクセス機能をお使いになれます。

インフラへのジャストインタイム昇格アクセス

Keeperのゼロトラスト特権セッションでは、ウェブボルトからワンクリックで任意の対象に接続できます。JIT構成が有効な場合、昇格された特権はセッション中のみ付与され、セッション終了と同時に自動的に取り消されます。

対応接続プロトコル

  • RDP (リモートデスクトッププロトコル)

  • SSH (セキュアシェル)

  • VNC (仮想ネットワークコンピューティング)

  • HTTP / HTTPS

  • データベース接続 (MySQL、PostgreSQL、SQL Server、Oracleなど)

構成方法

  1. KeeperPAMリソースの構成画面で「JIT」タブに移動します。

  2. 対象リソースに対してジャストインタイム昇格アクセスを有効にします。

  3. 昇格方法を設定します (一時アカウント または グループ/ロールベースの昇格)。

  4. 構成を更新します。

この構成により、必要なときにだけ安全に特権アクセスを付与でき、最小権限の原則とゼロトラストセキュリティを実現します。

一時アカウントの作成

KeeperPAMでは、特権セッションの間だけ存在する、一時的な特権アカウントを作成することが可能です。

主な機能

  • セッション開始時に自動で一時的な特権アカウントを作成

  • アクセス要件に基づいてその都度権限を割り当て

  • セッション終了時にアカウントを完全に削除

  • 永続的な特権アカウントが存在しないため、侵害リスクを排除

  • アカウントの作成・削除のすべての操作を詳細に記録

主な利点

  • 永続する特権アカウントに起因する攻撃経路を排除

  • 侵害された認証情報を使った水平移動を防止

  • 各セッションを一時アカウントに関連付ける明確な監査記録を生成

  • 特権アカウントの管理にかかる運用負荷を軽減

選択したアカウントタイプに基づき、Keeperゲートウェイが対象リソース上に一時アカウントを作成します。

以下のような割り当てられたターゲットリソース上に一時アカウントを作成することができます。

  • Active Directory / LDAPユーザー

  • Windowsユーザー

  • Linuxユーザー

  • MySQLユーザー

  • PostgreSQLユーザー

  • Microsoft SQL Serverユーザー

グループおよびロールの昇格

ロールの昇格は、グループまたはロール単位で設定することができます。たとえば、AWSのグループやロールを、セッション中のみ接続ユーザーアカウントに割り当てることも可能です。

入力フィールドには、以下のように接続時に昇格させるグループまたはロールの識別子を指定します。

  • Windowsの場合は「Administrators」などを指定します。

  • AWSの場合はフルARN (例: arn:aws:iam::12345:role/Admin) などを指定します。


PEDMを活用したエンドポイントでのジャストインタイム昇格アクセス

エンドポイント特権マネージャーで、エンドユーザーのデバイスに対してもJIT (ジャストインタイム) アクセス機能を拡張し、特定のプロセスやアプリケーション、タスクに対してのみ正確に特権を付与できるようにします。これにより、完全な管理者権限を与えることなく、必要な操作だけを許可することが可能です。

主な機能

  • Windows、macOS、Linux全体でのプロセスレベルの権限管理

  • ポリシーに基づく詳細な昇格ルール

  • 承認ワークフロー付きのユーザー発信型の昇格リクエスト

  • 昇格操作の監査・レポート機能を完備

動作の仕組み

  • ユーザーは通常、非特権アカウントで操作します

  • 管理者権限が必要な場合、特定のタスクに対して昇格をリクエスト

  • ポリシーに基づき、リクエストは自動承認または手動承認へルーティングされます

  • 昇格された権限は、指定されたプロセスまたは時間枠内のみに限定されます

  • すべての昇格アクティビティは完全に記録され、監査証跡として残されます

この仕組みにより、最小権限アクセスを維持しつつ、安全かつ柔軟な特権管理が可能になります。

  • エンドポイント特権マネージャーについて、詳しくはこちらのページをご参照ください。


自動ローテーション付きの時間制限アクセス

KeeperPAMは、リソースへの時間制限付きアクセスを付与し、アクセス期間の終了後に認証情報を自動でローテーションする機能を備えています。

主な機能

  • オンデマンドまたはスケジュールに基づく自動認証情報ローテーション

  • 権限を持つユーザーに対する時間制限付きアクセス

  • パスワードローテーションポリシーとの連携

  • 認証格情報の変更に関する完全な監査ログ

セキュリティ上の利点

  • 認証情報が将来のセッションで再利用されることを防止

  • アクセス期間中の認証情報の盗難リスクを低減

  • 暗号学的に検証可能なアクセス境界を構築

  • 認証情報のローテーション要件に対応し、コンプライアンスを維持

設定方法

リソースに時間制限付きアクセスを付与するには、ボルトから該当リソースを開き、[共有] を選択します。共有先のユーザーを追加し、アクセスの有効期限を選択してください。

詳しくは以下のページをご参照ください。

  • パスワードローテーション

ワークフローと承認リクエスト

KeeperPAMは、JIT (ジャストインタイム) アクセスリクエストに対して柔軟な承認ワークフローを搭載しており、特権アクセスに対する適切な管理と可視性を確保します。

主な機能

  • 複数段階の承認フローに対応

  • 時間ベースの自動承認または自動却下設定

  • 承認権限の委任

  • メールおよびモバイル通知による即時対応

  • 詳細な利用目的 (理由) の入力を必須に

  • 単一ユーザーモード (チェックイン・チェックアウト)

  • アクセス時の多要素認証 (MFA) の適用

構成オプション

  • リソースの機密度に応じた承認者の指定

  • 承認タイムアウトおよびエスカレーションの設定

  • 勤務時間外のアクセス制限

  • セッションの最大利用時間の制限

  • ユーザーごとの個別承認要件

この仕組みにより、必要なときにだけアクセスを許可し、不正利用や権限の濫用を防ぐゼロトラストアクセス管理が実現します。

実装のベストプラクティス

KeeperPAMでJITアクセスとZSP (ゼロスタンディング特権) を導入する際は、以下のベストプラクティスを参考にしてください。

  • 重要システムから開始する 最も機密性の高いシステムやインフラから段階的に導入を始めましょう。

  • 明確なポリシーを定義する JITアクセスが必要となる条件や、誰が承認できるのかなどのガイドラインを明確にします。

  • ユーザー教育を行う 必要なときに昇格アクセスをリクエストする方法をユーザーが理解しているようにします。

  • 継続的なモニタリングと調整 アクセスログを定期的に確認し、実際の利用状況に応じてポリシーを見直しましょう。

  • 緊急時の対応を計画する 通常の承認フローでは対応が間に合わない緊急時のために、緊急アクセス手順をあらかじめ策定しておきましょう。

結論

KeeperPAMのJITアクセスとZSP機能を活用することで、特権アクセスを必要なときだけに限定し、常設のアクセス権限を排除できます。これにより、セキュリティリスクを最小限に抑えながら、適切な承認と完全な監査のもとでアクセスを管理することが可能になります。

JITの具体的な活用事例や導入に関する詳細については、Keeper Securityのアカウントマネージャーまでご連絡いただくか、pam@keepersecurity.comまでメールにてお問い合わせください。

時間制限付きアクセス
PAMセッション中のジャストインタイム一時アカウント作成
特権セッション中のジャストインタイムのロール昇格
Keeper特権マネージャーによるジャストインタイムアクセス
時間制限付きアクセス
ワークフローと承認リクエスト