Managed Microsoft ADユーザー

KeeperでAWS Managed Microsoft ADサービスアカウントをローテーション

概要

本ページでは、Keeperローテーションを使用して、AWS Managed Microsoft ADサービスの管理者アカウントとユーザーアカウントをローテーションする方法について取り扱います。Active DirectoryサービスはAWSのマネージドリソースで、ディレクトリサービスの管理者認証情報がPAMディレクトリレコードタイプで定義され、ADユーザーの設定がPAMユーザーレコードタイプで定義されます。

Amazon Managed Active Directoryサービスでは、AWS SDKを使用してディレクトリ管理者のパスワードをローテーションします。ユーザーアカウントのパスワードはLDAPを使用してローテーションされます。ローテーションを成功させるには、サーバー側のLDAPSが設定され、Directory管理者がPAMディレクトリレコードタイプで定義されて、SSL接続を使用している必要があります。

要件

以下がすでに実行されていることを前提としています。

• ロールに対してKeeperシークレットマネージャー有効になっていること。
• Keeperローテーションがご利用のロールに対して有効になっていること。
• Keeperシークレットマネージャーアプリケーションが作成済みであること。
• Keeperローテーションゲートウェイがすでにインストールされて動作しており、AWSディレクトリサービスと通信できること。
• AWS環境がKeeperのドキュメントに従って設定されていること。

1. PAMディレクトリレコードを設定

Keeperローテーションでは、リンクされているAWS Managed Directory Serviceのディレクトリ管理者のクレデンシャルを使用して、ドメインサービスのディレクトリアカウントのパスワードをローテーションします。これらの管理者クレデンシャルは、ディレクトリ管理者のパスワードのローテーションにも使用できます。

以下は、PAMディレクトリレコードの必須フィールドとなります。

フィールド	説明
タイトル	レコードの名前 (AD Domain Serviceなど)
ホスト名またはIPアドレス	ディレクトリDNS名 (ad.pam.testなど)
ポート	LDAPSの636
SSLを使用 (チェックボックス)	チェック要
管理者認証情報	PAMユーザーのディレクトリサービス管理者アカウントとパスワード (Adminなど) 注: ログイン名とドメイン名または識別名のいずれかが必要です。識別名が推奨されます。、
識別名	ディレクトリサービス管理者アカウントの識別名 (DN) 。 注: DNが指定されていない場合は、次の形式が使用されます。ドメイン名がexample.comの場合、CN=<user>,CN=Users,DC=example,DC=com
ドメイン名	ディレクトリのDNS名 注: 識別名の代わりにログインを使用する場合に必要となります。
ディレクトリID	ディレクトリサービスの識別子 (d-##########)
ディレクトリタイプ	ディレクトリサービスのディレクトリタイプ。空白の場合、デフォルトはActive Directoryです。
プロバイダリージョン	AWSリージョン名 (us-east-1など)

備考: プロバイダのリージョンとディレクトリIDを追加すると、AWS SDKを使用してPAMディレクトリレコードを管理できるようになります (推奨) 。

管理者認証情報を含むこのPAMディレクトリレコードは、要件で作成したKSMアプリケーションに共有されている共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません。

2. PAM構成を設定

注: 環境に対して既にPAM構成を設定済みの場合は、この手順を省略できます。

新しいPAM構成を作成する場合は、Keeperボルトにログインし、左側のメニューから [シークレットマネージャー]、[PAM構成] タブの順に選択して、[新規構成] をクリックします。 以下は、PAM構成レコードの必須フィールドとなります。

フィールド	説明
タイトル	設定名 (AWS AD Configurationなど)
環境	AWSを選択
ゲートウェイ	Keeperシークレットマネージャーアプリケーションで構成され、要件のActive Directoryサーバーにネットワークでアクセスできるゲートウェイを選択します
アプリケーションフォルダ	PAM構成が格納されている共有フォルダを選択します。PAMユーザーが格納されている共有フォルダ内に配置することを推奨します。
AWS ID	AWSのこのインスタンスの固有のID。参考用のため任意のIDを指定できますが、短くすることをお勧めします。 例:AWS-1
アクセスキーID	EC2ロールポリシー (デフォルト) を使用している場合は、このフィールドをUSE_INSTANCE_ROLEに設定します。使用していない場合は、特定のアクセスキーIDを使用します。
シークレットアクセスキー	EC2ロールポリシー (デフォルト) を使用している場合は、このフィールドをUSE_INSTANCE_ROLEに設定します。使用していない場合は、特定のアクセスキーIDを使用します。
リージョン名	AWSリージョン名のリスト (1行に1つ) 例: us-east-1 us-east-2

PAM構成レコードで構成できるすべてのフィールドの詳細については、こちらのページをご参照ください。

3. 1つまたは複数のPAMユーザーレコードを設定

Keeperローテーションにより、PAMデータベースレコードの認証情報を使用して、AWS環境のPAMユーザーレコードをローテーションします。PAMユーザーの認証情報は、要件で作成したKSMアプリケーションに共有されている共有フォルダに格納されている必要があります。

以下は、PAMユーザーレコードの必須フィールドとなります。

フィールド	説明
タイトル	Keeperのレコードタイトル (AWS Directory User1など)
ログイン	ディレクトリサービスのユーザーアカウントのユーザー名
パスワード	アカウントパスワードはオプションです。空白の場合はローテーションで設定されます
識別名	ディレクトリサービスユーザーアカウントの識別名 (DN)

4. PAMユーザーレコードでローテーションを構成

レコードのローテーションを設定 - ディレクトリユーザー

手順3のPAMユーザーレコードを選択し、編集して[パスワードローテーション設定]を開きます。

• 適切なスケジュールとパスワードの複雑さを選択します。

• [ローテーション設定]では、以前に設定したPAM構成を使用する必要があります。

• [リソースクレデンシャル]フィールドで、手順1で設定されたPAMデータベース認証情報を選択する必要があります。

• 保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールに基づいてローテーションできるようになります。

PAMユーザーのレコードに対するedit権限を持つユーザーならだれでも、そのレコードのローテーションを設定できます。

トラブルシューティング

AWS Managed Directory Serviceユーザーの識別名を取得

以下のWindowsコマンドを使用して、ディレクトリユーザーの識別名を取得します。

Get-ADUser -Identity "username" | Select-Object -ExpandProperty DistinguishedName

コマンドが存在しない場合は、以下のコマンドを使用して関連モジュールをインポートする必要があります。

Import-Module ActiveDirectory