Managed Microsoft ADユーザー
Keeperを使用したAWS Managed Microsoft ADサービスアカウントのローテーション
最終更新
Keeperを使用したAWS Managed Microsoft ADサービスアカウントのローテーション
最終更新
このガイドでは、Keeperローテーションを使用してAWS Managed Microsoft ADサービスの管理者アカウントとユーザーアカウントをローテーションする方法について説明します。Active DirectoryサービスはAWSのマネージドリソースで、ディレクトリサービスの管理者のクレデンシャルがPAMディレクトリレコードタイプで定義され、ADユーザーの設定がPAMユーザーレコードタイプで定義されています。
Amazon Managed Active Directoryサービスの場合、AWS SDKを使用してディレクトリ管理者パスワードをローテーションします。ユーザーアカウントのパスワードはLDAPを使用してローテーションされます。ローテーションを成功させるには、サーバー側のLDAPSが設定され、Directory管理者がPAMディレクトリレコードタイプで定義されて、SSL接続を使用している必要があります。
AWS環境でのローテーションプロセスの概要については、こちらのページをご参照ください。
このガイドでは、以下の作業がすでに実行されていることを前提としています。
Keeperローテーションがご利用のロールに対して有効になっていること
Keeperシークレットマネージャーアプリケーションが作成済みであること
Keeperローテーションゲートウェイがすでにインストールされて動作しており、AWS Directory Serviceと通信できること
AWS環境がKeeperのドキュメントに従って設定されていること
Keeperローテーションは、AWS Managed Directory Serviceのディレクトリ管理者のクレデンシャルを使用して、ドメインサービスのディレクトリアカウントのパスワードをローテーションします。これらの管理者クレデンシャルは、ディレクトリ管理者のパスワードのローテーションにも使用できます。
以下は、PAMディレクトリレコードの必須フィールドとなります。
フィールド | 説明 |
---|---|
タイトル | レコードの名前( |
ホスト名またはIPアドレス | ディレクトリDNS名( |
ポート | LDAPSは |
SSLを使用(チェックボックス) | チェック要 |
ログイン | ディレクトリサービス管理者アカウント( |
パスワード | ディレクトリサービス管理者パスワード |
識別名 | ディレクトリサービス管理者アカウントの識別名(DN) 。
注意:DNが指定されていない場合は、次の形式が使用されます。
所与のドメイン名は |
ドメイン名 | ディレクトリのDNS名 注意:これは、識別名の代わりにログインを使用する場合に必要です。 |
ディレクトリID | Directory Serviceの識別子( |
ディレクトリタイプ | Directory Serviceのディレクトリタイプ。空白の場合、デフォルトは |
プロバイダリージョン | AWSリージョン名( |
備考: プロバイダのリージョンとディレクトリIDを追加すると、AWS SDKを使用して、PAMディレクトリレコードを管理できるようになります (推奨) 。
管理者のクレデンシャルを含むこのPAMディレクトリレコードは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません。
AWS環境のPAM設定が作成済みの場合は、ディレクトリユーザーのローテーションに必要なその他のリソースクレデンシャルを既存のPAM設定に追加すればよいだけです。
新しいPAM設定を作成する場合は、Keeperボルトにログインし、左側のメニューから[Secrets Manager]、[PAM設定]タブの順に選択して、[新規設定]をクリックします。 以下は、PAM設定レコードの必須フィールドとなります。
フィールド | 説明 |
---|---|
タイトル | 設定名、例: |
環境 | 選択: |
ゲートウェイ | Keeperシークレットマネージャーアプリケーションで設定され、前提条件のActive Directoryサーバーにネットワークでアクセスできるゲートウェイを選択します |
アプリケーションフォルダ | 手順1のPAMディレクトリレコードを含む共有フォルダを選択します |
管理者クレデンシャルレコード | 手順1で作成したPAMディレクトリレコードを選択します これは、管理者のクレデンシャルが格納された、ディレクトリユーザーアカウントのクレデンシャルをローテーションするための十分な権限を持つレコードです |
AWS ID | AWSのこのインスタンスの一意のID。これは参考用のため、何を指定してもよいですが、短くすることをお勧めします
例: |
アクセスキーID | EC2ロールポリシー(デフォルト)を使用している場合は、このフィールドを |
シークレットアクセスキー | EC2ロールポリシー(デフォルト)を使用している場合は、このフィールドを |
リージョン名 | AWSリージョン名のリスト(1行に1つ)
例:
|
PAMネットワーク設定レコードの設定可能なすべてのフィールドの詳細は、こちらのページをご参照ください。
Keeperローテーションは、PAMディレクトリレコードのクレデンシャルを使用して、AWS環境のPAMユーザーレコードをローテーションします。PAMユーザーのクレデンシャルは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。
以下の表に、PAMユーザーレコードの必須フィールドをすべて一覧で表示します。
フィールド | 説明 |
---|---|
タイトル | Keeperのレコードタイトル ( |
ログイン | ディレクトリサービスのユーザーアカウントのユーザー名 |
パスワード | アカウントパスワードはオプションです。空白の場合はローテーションで設定されます |
識別名 | ディレクトリサービスユーザーアカウントの識別名 (DN) |
手順3で設定したPAMユーザーのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。
適切なスケジュールとパスワードの複雑さを選択します。
[ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。
[リソースクレデンシャル]フィールドで、手順1で設定されたPAMディレクトリクレデンシャルを選択する必要があります。
保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。
PAMユーザーのレコードに対するedit
権限を持つユーザーならだれでも、そのレコードのローテーションを設定できます。
ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。
手順1で設定したPAMディレクトリのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。
適切なスケジュールとパスワードの複雑さを選択します。
[ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。
[リソースクレデンシャル]フィールドで、手順1で設定されたPAMディレクトリクレデンシャルを選択する必要があります。
保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。
ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。
次のWindowsコマンドを使用して、ディレクトリユーザーの識別名を取得できます。
コマンドが存在しない場合は、次のコマンドを使用して適切なモジュールをインポートする必要があります。