LogoLogo
KeeperPAMとシークレットマネージャー
KeeperPAMとシークレットマネージャー
  • KeeperPAM
  • 特権アクセス管理
    • セットアップ手順
    • クイックスタート (Sandbox)
    • はじめに
      • アーキテクチャ
        • アーキテクチャ図
        • ボルト (保管庫) のセキュリティ
        • ルータのセキュリティ
        • ゲートウェイのセキュリティ
        • 接続とトンネルのセキュリティ
      • KeeperPAMのライセンス
      • 強制適用ポリシー
      • ボルトの構造
      • レコードリンク
      • アプリケーション
      • デバイス
      • ゲートウェイ
        • ゲートウェイの作成
        • Dockerにインストール
        • Linuxにインストール
        • Windowsにインストール
        • 自動アップデータ
        • 高度な設定
          • AWS KMSでのゲートウェイ構成
          • カスタムフィールドを使用したゲートウェイ構成
      • PAM構成
        • AWS環境のセットアップ
        • Azure環境のセットアップ (英語)
        • ローカル環境のセットアップ (英語)
      • PAMリソース
        • PAMマシン
          • 例: Linuxマシン (英語)
          • 例: Azure仮想マシン (英語)
        • PAMデータベース
          • 例: MySQLデータベース (英語)
          • 例: PostgreSQLデータベース (英語)
          • 例: Microsoft SQL Serverデータベース (英語)
        • PAMディレクトリ
        • PAMリモートブラウザ
        • PAMユーザー
      • 共有とアクセス制御 (英語)
      • ジャストインタイムアクセス (JIT) (英語)
    • パスワードローテーション
      • ローテーションの概要
      • ローテーションの活用事例
        • Azure
          • Azure ADユーザー
          • Azure VMユーザーアカウント
          • Azureマネージドデータベース
            • Azure SQL
            • Azure MySQL - シングル/フレキシブルデータベース
            • Azure MariaDBデータベース
            • Azure PostgreSQL - シングル/フレキシブルデータベース
          • Azureアプリケーションシークレットローテーション
        • AWS
          • IAMユーザーのパスワード
          • Managed Microsoft ADユーザー
          • EC2仮想マシンユーザー
          • IAMユーザーのアクセスキー
          • マネージドデータベース
            • AWS RDS for MySQL
            • AWS RDS for SQL Server
            • AWS RDS for PostgreSQL
            • AWS RDS for MariaDB
            • AWS RDS for Oracle
        • ローカルネットワーク
          • Active DirectoryやOpenLDAPユーザー
          • Windowsユーザー
          • Linuxユーザー
          • macOSユーザー
          • データベース
            • ネイティブMySQL
            • ネイティブMariaDB
            • ネイティブPostgreSQL
            • ネイティブMongoDB
            • ネイティブMS SQL Server
            • ネイティブOracle
        • SaaSアカウント
          • Oktaユーザー
          • Snowflakeユーザー
          • REST APIを使用した認証情報のローテーション (英語)
        • ネットワークデバイス
          • Cisco IOS XE
          • Cisco Meraki
      • サービス管理
      • ポストローテーションスクリプト
        • 入力と出力
        • スクリプトの添付
        • コード例
    • 接続
      • はじめに
      • セッションプロトコル
        • SSH接続
        • RDP接続 (英語)
        • RBI接続 (英語)
        • MySQL接続 (英語)
        • SQL Server接続 (英語)
        • PostgreSQL接続 (英語)
        • VNC接続 (英語)
        • Telnet接続 (英語)
      • 具体例 (英語)
        • SSHプロトコル - Linuxマシン (英語)
        • RDPプロトコル - Azure仮想マシン (英語)
        • MySQLプロトコル - MySQLデータベース (英語)
        • PostgreSQLプロトコル - PostgreSQLデータベース (英語)
    • トンネル
      • トンネルの設定
    • リモートブラウザ分離
      • RBI (リモートブラウザ分離) の設定
        • URLパターンとリソースURLパターン
        • ブラウザの自動入力
    • セッションの録画と再生
    • SSHエージェント
      • Gitとの統合
    • 検出
      • コマンダーを使用した検出 (英語)
      • ボルトを使用した検出 (英語)
    • オンプレミス用コネクションマネージャー
    • 参考資料
      • ポートマッピング
      • SSHの設定
      • WinRMを設定
      • SQL Serverの設定 (英語)
      • Linuxへのsqlcmdのインストール (英語)
      • LinuxでのDockerインストール
      • ローテーション用のKSMアプリの作成
      • Active Directoryの最小権限
      • イベントレポート
      • PAMレコードのインポート
      • CLIによるローテーション管理
      • Commander SDK
      • Cron式で自動ローテーション設定
      • プレビュー版へのアクセス方法
  • エンドポイント特権マネージャー
    • 概要
  • セットアップ
  • デプロイメント (展開)
  • ポリシー
  • リクエストの管理
  • よくある質問
  • シークレットマネージャー
    • 概要
    • クイックスタートガイド
    • Keeperシークレットマネージャー (KSM) について
      • アーキテクチャ
      • 用語
      • セキュリティと暗号化モデル
      • ワンタイムアクセストークン
      • Secrets Managerの設定
      • Keeper表記法
      • イベントレポート
      • フィールド/レコードタイプ
    • シークレットマネージャーCLI
      • profileコマンド
      • initコマンド
      • secretコマンド
      • folderコマンド
      • syncコマンド
      • execコマンド
      • configコマンド
      • versionコマンド
      • 各種コマンド
      • Dockerコンテナ
      • カスタムのレコードタイプ
    • パスワードローテーション
    • 開発者用SDK
      • Python SDK
      • Java/Kotlin SDK
        • レコードフィールドクラス
      • JavaScript SDK
      • .NET SDK
      • Go SDK
        • レコードフィールドクラス
      • PowerShell
      • ボルトのSDK
    • インテグレーション
      • Ansible
        • Ansibleプラグイン
        • Ansible Tower
      • AWS CLI認証プロセス
      • AWSシークレットマネージャー同期
      • AWS KMSでの暗号化
      • Azure DevOps拡張機能
      • Azure Key Vaultとの同期
      • Azure Key Vaultでの暗号化
      • Bitbucketプラグイン
      • Dockerイメージ
      • Dockerランタイム
      • Docker Writerイメージ
      • Entrust HSM
      • Git - SSHでコミットに署名
      • GitHub Actions
      • GitLab
      • GCPシークレットマネージャー
      • Google Cloud Key Management Encryption (英語)
      • Hashicorp Vault
      • Heroku
      • Jenkinsプラグイン
      • Keeper Connection Manager
      • Kubernetes外部シークレットオペレータ
      • Kubernetes
      • Linux Keyring
      • Octopus Deploy
      • Oracle Key Vault Encryption (英語)
      • PowerShellプラグイン
      • ServiceNow
      • TeamCity
      • Teller
      • Terraformプラグイン
        • Terraformレジストリ
      • Windows資格情報マネージャー
      • XSOAR
    • トラブルシューティング
  • コマンダーCLI
    • コマンダーの概要
    • インストールとセットアップ
      • WindowsでのCLIインストール
      • MacでのCLIインストール
      • LinuxでのCLIインストール
      • Python開発者用セットアップ
      • .NET開発者用セットアップ
      • PowerShellモジュール
      • ログイン
      • 設定と使用法
        • AWS Secrets Manager
        • AWS Key Management Service
      • Windowsタスクによる自動化
      • AWS Lambdaで自動化
      • アンインストール
    • コマンドリファレンス
      • データのインポートとエクスポート
        • インポート/エクスポートコマンド
        • CyberArkからのインポート
        • LastPassデータのインポート
        • Delinea/Thycotic Secret Serverインポート
        • Keepassインポート
        • ManageEngineインポート
        • Mykiインポート
        • Proton Passインポート
        • CSVインポート
        • JSONインポート
      • レポート作成コマンド
        • レポートの種類
      • エンタープライズ管理コマンド
        • ユーザーの作成と招待
        • コンプライアンスコマンド
        • Breachwatchコマンド
        • SCIMプッシュ配信設定
      • レコードに関するコマンド
        • レコードタイプに関するコマンド
        • レコードタイプの作成
      • 共有コマンド
      • KeeperPAMコマンド
      • 接続コマンド
        • SSH
        • SSHエージェント
        • RDP
        • connectコマンド
        • SFTP同期
      • シークレットマネージャーコマンド
      • MSP管理コマンド
      • 各種コマンド
      • パスワードローテーション
        • パスワードローテーションコマンド
        • AWSプラグイン
        • Azureプラグイン
        • Microsoft SQL Serverのプラグイン
        • MySQLプラグイン
        • Oracleプラグイン
        • PostgreSQLプラグイン
        • PSPasswdプラグイン
        • SSHプラグイン
        • Unix Passwdプラグイン
        • Windowsプラグイン
        • Active Directoryプラグイン
        • 自動実行
    • サービスモードREST API
    • トラブルシューティング
GitBook提供
このページ内
  • 要件
  • 強制適用ポリシー
  • Keeperゲートウェイの展開
  • アプリケーションの作成
  • PAMユーザーレコードの作成
  • PAMリソースの作成
  • ローテーション設定の構成
  • ローテーション用のレコードタイプ
  • PAM構成
  • パスワードのローテーション方法
  • Keeperコマンダーでのローテーション
  • サービスおよびスケジュールタスク
  • レコードインポート
GitHubで編集
  1. 特権アクセス管理
  2. パスワードローテーション

ローテーションの概要

Keeperパスワードローテーションのクイックスタートガイド

前へパスワードローテーション次へローテーションの活用事例

最終更新 1 か月前

要件

パスワードローテーションの設定を行う前に、以下を行います。

  • KeeperPAMの「はじめに」のページをお読みください。

  • 強制適用ポリシーを有効にします。

  • Keeperゲートウェイを展開します。

  • PAMユーザーレコードを作成します。

  • PAMリソースを作成します。

  • ローテーション設定を構成します。

強制適用ポリシー

KeeperPAMパスワードローテーション関連の強制適用ポリシーについては、Keeper管理コンソールの[管理者] > [ロール] > [強制適用ポリシー] > [特権アクセス管理]画面にて管理します。

以下は、パスワードローテーション機能に関連したポリシーとなります。

ポリシー
コマンダーによる適用
説明

アプリケーションの作成およびシークレットの管理

ALLOW_SECRETS_MANAGER

シークレットマネージャーアプリケーションを作成できるようにします。

Keeperゲートウェイを作成、デプロイ、管理

ALLOW_PAM_GATEWAY

Keeperゲートウェイを展開および管理できるようにします。

ローテーション構成を設定

ALLOW_PAM_ROTATION

PAMユーザーレコードでローテーションを設定できるようにします。

ローテーション構成を設定 (レガシー設定)

ALLOW_CONFIGURE_ROTATION_SETTINGS

ALLOW_PAM_ROTATIONと同じ設定にする必要があります。

認証情報をローテーション

ALLOW_ROTATE_CREDENTIALS

すべてのユーザーがパスワードローテーションを実行できるようにします。

KeeperコマンダーCLIでもenterprise-roleコマンドを使用してローテーションを有効にできます。

enterprise-role "Keeper Administrator" --enforcement "ALLOW_SECRETS_MANAGER":true
enterprise-role "Keeper Administrator" --enforcement "ALLOW_PAM_GATEWAY":true
enterprise-role "Keeper Administrator" --enforcement "ALLOW_PAM_ROTATION":true
enterprise-role "Keeper Administrator" --enforcement "ALLOW_CONFIGURE_ROTATION_SETTINGS":true
enterprise-role "Keeper Administrator" --enforcement "ALLOW_ROTATE_CREDENTIALS":true

Keeperゲートウェイの展開

まだKeeperゲートウェイを作成されていない場合は、ウェブボルトまたはデスクトップアプリ (バージョン17.1以降) から[新規作成] > [ゲートウェイ]をクリックして新しいゲートウェイを作成します。また、手軽にサンドボックス環境を作成する方法について記載したページもご用意しています。

  • クイックスタート (サンドボックス)

アプリケーションの作成

[新規作成] > [ゲートウェイ]からゲートウェイを作成すると、自動的にシークレットマネージャーアプリケーション、共有フォルダ、PAM構成が作成されます。ボルトの[シークレットマネージャー]画面で、アプリケーションが共有フォルダに割り当てられ、ゲートウェイにも割り当てられているのが確認できます。

PAMユーザーレコードの作成

PAMユーザーレコードには、特権アカウントの認証情報、パスワード、秘密鍵を格納します。PAMユーザーの作成手順については、こちらのページをご参照ください。以下の例は、Windowsサーバーの管理者パスワードに関するPAMユーザーレコードとなります。PAMユーザーレコードは、ユーザーアカウントが含まれている共有フォルダに追加されます。

PAMリソースの作成

PAMリソースは、マシン、データベース、ディレクトリを表します。

ローテーション設定の構成

ローテーション用のレコードタイプ

認証情報のローテーションは、PAMユーザーレコードタイプに制限されています。

以前のバージョンのKeeperでは、PAMマシン、PAMデータベース、PAMディレクトリのレコードでもローテーションは可能でしたが、最新バージョンのKeeperPAMでは、PAMリソースとPAMユーザーを分けて管理する必要があります。詳細については、レコードリンクのページをご参照ください。

KeeperシークレットマネージャーまたはKeeperPAMを有効にすると、以下のレコードタイプが利用できるようになります。

  • PAMユーザー ユーザーIDとパスワード、秘密鍵、またはその両方を格納。

  • PAMディレクトリ オンプレミスまたはクラウドベースのディレクトリに関する情報。

  • PAMデータベース セルフホスト型またはクラウドベースのデータベース (MySQL、SQL Serverなど)。

  • PAMマシン オンプレミスまたはクラウド上のWindows、Linux、macOSマシン。

  • PAMリモートブラウザ ウェブベースのアプリケーションを保護するためのリモートブラウザ分離。

これらの5つのレコードタイプは、ボルトに追加し、フォルダに配置し、他のKeeperレコードと同様に共有できます。詳細については、PAMリソースのページをご参照ください。

PAM構成

ローテーションが有効になると、ボルトのシークレットマネージャー画面に「PAM構成」というセクションが表示されます。PAM構成は、以下の要素を含むオブジェクトです。

  • 環境 ローカルネットワーク、AWS、Azure。

  • Keeperゲートウェイ オンプレミスまたはクラウドインフラストラクチャにインストールするサービス。

  • アプリケーションフォルダ シークレットマネージャーアプリケーションと関連するレコードを含む共有フォルダ。

  • 管理者認証情報 ローテーションとディスカバリを実行するための特権認証情報を含むKeeperレコード。

任意の数のPAM構成、アプリケーション、ゲートウェイをご利用になれます。 詳細については、PAM構成、アプリケーション、ゲートウェイの各ページをご覧ください。

パスワードのローテーション方法

  1. PAMユーザーレコードを共有フォルダに追加します。

  2. PAMリソース (マシン、データベース、ディレクトリ) レコードを共有フォルダに追加します。

  3. 各PAMユーザーレコードにローテーション設定を構成します。

  4. シークレットマネージャーアプリケーションを作成します。

  5. シークレットマネージャーアプリケーションを共有フォルダに割り当てます。

  6. PAMユーザーが含まれる共有フォルダの権限を[読み取り専用]から[編集]に変更します。

  7. Keeperゲートウェイをシークレットマネージャーアプリケーションに追加します。

  8. すべてを統合するPAM構成を作成します。

  9. PAMユーザーレコードにローテーション設定を割り当てます。

Keeperコマンダーでのローテーション

Keeperコマンダーでは以下のコマンドでローテーション機能の自動化に対応しています。

  • pam action rotate

  • pam action job-info

例

bashCopyEditMy Vault> pam action rotate -r 5NaygwI4LK1BDZmH3Ib
Scheduled action id: MfKbPR3ac6A/oBDZpctpOg==

My Vault> pam action job-info MfKbPR3ac6A/oBDZpctpOg== -g QPkRsR8KQm6_4vnHTcofZA
Job id to check [MfKbPR3ac6A/oBDZpctpOg==]
Execution Details
-------------------------
	Status              : finished
	Duration            : 0:00:17.525641
	Response Message    : Rotation completed for record uid 5NaygwI4LK1BDZmH3Ib
My Vault>

サービスおよびスケジュールタスク

Keeperローテーションにより、Windowsサービスアカウントとスケジュールタスクの「log on」認証情報も更新できます。詳細についてはサービス管理のページをご覧ください。

レコードインポート

JSON形式からの一括インポートに対応しています。詳細については、PAMレコードのインポートのページをご参照ください。

KeeperPAM強制適用ポリシー
アプリケーションのセットアップ
ゲートウェイに関連つけられたアプリケーション
PAMユーザーレコードの作成
マシン、データベース、ディレクトリの新規作成

PAMユーザーレコードの [ローテーション設定] セクションでは、認証情報のローテーションをどのように管理するかを設定します。

パスワードローテーションの設定

フィールド
説明
必須か否か

ローテーションタイプ

実行するローテーションの種類 (および使用するプロトコル) を指定します。

必須 「一般」、「IAMユーザー」、「PAMスクリプトの実行のみ」。詳細については下のセクションをご覧ください。

PAMリソース

「一般」ローテーションタイプの場合、必要な権限を提供できるPAMリソースレコードを指定します。

「IAMユーザー」ローテーションタイプの場合、クラウドAPIを利用するPAM構成を指定します。

「一般」および「IAMユーザー」のローテーションタイプでのみ必須

ローテーションスケジュール

ローテーションは、オンデマンドまたは特定のスケジュールで実行できます。

パスワードの複雑さ

パスワードベースのローテーションに適用され、PEMキーには適用されません。

[さらに表示]をクリックして特殊文字や記号を制御します。

ローテーションタイプ

以下の3種類のローテーションタイプに対応しています。

  • 一般 LDAP、データベース、SSHキーなどのネイティブプロトコルを使用してローテーションを実行します。

  • IAMユーザー AWS IAMユーザーやAzure管理リソースなど、クラウド特有のAPIを使用してローテーションを実行します。この場合、必要なのはPAM構成のみで必要な情報が含まれています。

  • PAMスクリプトの実行のみ 標準のローテーションをスキップし、添付されたPAMスクリプトのみを実行します。

ローテーションのスケジュールは、特定の間隔で設定するか、cron式を使用して設定できます。

PAMリソース

ローテーションの設定を完了するためには、ローテーションタイプに応じたリソースを選択する必要があります。

「一般」ローテーションの場合、Keeperゲートウェイはネイティブプロトコルを使用して必要なローテーションを実行し、指定されたPAMリソースでローテーションが実行されます。必要に応じて、PAMリソースに関連付けられた管理者の認証情報が使用されます。

以下の例では、Windowsサービスアカウントのパスワードが関連のWindowsサーバーでローテーションされます。

「IAMユーザー」ローテーションタイプの場合、Keeperゲートウェイが参照PAM構成を使用して、ローテーションを実行に使用するAPIとローテーション方法を決定します。以下の例では、AWSのIAMユーザーが「AWS (US-WEST-1)」構成を使用します。

IAMユーザーローテーションを使用する場合、Keeperゲートウェイは、インスタンスロールポリシーから特権を継承するか、PAM構成レコード内のアクセスキーを通じて特権を取得することが前提となります。

要約

  • PAMユーザーレコードは、ローテーションする認証情報を格納します。

  • PAMユーザーレコードのローテーション設定は、特定のPAMマシン、PAMデータベース、PAMディレクトリリソースを参照します。このリソースがローテーションの対象となります。

  • Keeperゲートウェイは、PAMマシン、PAMデータベース、PAMディレクトリリソースに関連付けられた管理者認証情報を使用して、ネイティブプロトコルでローテーションを実行します。

  • AWSおよびAzure管理リソースの場合、Keeperはゲートウェイのインスタンスロール権限や、PAM構成のシークレットを使用してAPIでローテーションを実行します。

例

以下はPAMユーザーレコードの例となります。

  • Windowsドメイン管理者

  • Windowsドメインユーザーとポストローテーションスクリプト

  • AWS IAMユーザー

  • データベースユーザー

  • Azure ADユーザー

PAMユーザーレコードの編集

高度なスケジュール機能についてはをご参照ください。

パスワードローテーションの設定
カスタムスケジュール
カレンダー設定
Cron式
ローテーションリソース
lAMユーザーローテーション
Windowsドメイン管理者ユーザー
Windowsドメインユーザーとポストローテーションスクリプト
AWS IAMユーザー
データベースユーザー
Azure ADユーザー
cron式のページ

KeeperPAMを使用するには、ライセンスが必要です。ライセンスは、ビジネスおよびエンタープライズのお客様にご利用いただけます。

KeeperPAMホームページ
デモを申し込む
サポートにお問い合わせ