Managed Microsoft ADユーザー

Keeperを使用したAWS Managed Microsoft ADサービスアカウントのローテーション

概要

このガイドでは、Keeperローテーションを使用してAWS Managed Microsoft ADサービスの管理者アカウントとユーザーアカウントをローテーションする方法について説明します。Active DirectoryサービスはAWSのマネージドリソースで、ディレクトリサービスの管理者のクレデンシャルがPAMディレクトリレコードタイプで定義され、ADユーザーの設定がPAMユーザーレコードタイプで定義されています。

Amazon Managed Active Directoryサービスの場合、AWS SDKを使用してディレクトリ管理者パスワードをローテーションします。ユーザーアカウントのパスワードはLDAPを使用してローテーションされます。ローテーションを成功させるには、サーバー側のLDAPSが設定され、Directory管理者がPAMディレクトリレコードタイプで定義されて、SSL接続を使用している必要があります。

AWS環境でのローテーションプロセスの概要については、こちらのページをご参照ください。

前提条件

このガイドでは、以下の作業がすでに実行されていることを前提としています。

• Keeperシークレットマネージャーが企業およびロールに対して有効になっていること

• Keeperローテーションがご利用のロールに対して有効になっていること

• Keeperシークレットマネージャーアプリケーションが作成済みであること

• Keeperローテーションゲートウェイがすでにインストールされて動作しており、AWS Directory Serviceと通信できること

• AWS環境がKeeperのドキュメントに従って設定されていること

1. PAMディレクトリレコードを設定

Keeperローテーションは、AWS Managed Directory Serviceのディレクトリ管理者のクレデンシャルを使用して、ドメインサービスのディレクトリアカウントのパスワードをローテーションします。これらの管理者クレデンシャルは、ディレクトリ管理者のパスワードのローテーションにも使用できます。

以下は、PAMディレクトリレコードの必須フィールドとなります。

フィールド	説明
タイトル	レコードの名前（AD Domain Service）
ホスト名またはIPアドレス	ディレクトリDNS名（ad.pam.test）
ポート	LDAPSは636、デフォルトポートはポートマッピングを参照
SSLを使用（チェックボックス）	チェック要
ログイン	ディレクトリサービス管理者アカウント（Admin） 注意:ログイン名もしくはドメイン名または識別名のいずれかが必要です。識別名が優先されます。
パスワード	ディレクトリサービス管理者パスワード
識別名	ディレクトリサービス管理者アカウントの識別名（DN） 。 注意:DNが指定されていない場合は、次の形式が使用されます。 所与のドメイン名はexample.comです。 CN=<user>,CN=Users,DC=example,DC=com
ドメイン名	ディレクトリのDNS名 注意:これは、識別名の代わりにログインを使用する場合に必要です。
ディレクトリID	Directory Serviceの識別子（d-##########）
ディレクトリタイプ	Directory Serviceのディレクトリタイプ。空白の場合、デフォルトはActive Directoryです。
プロバイダリージョン	AWSリージョン名（us-east-1）

備考: プロバイダのリージョンとディレクトリIDを追加すると、AWS SDKを使用して、PAMディレクトリレコードを管理できるようになります (推奨) 。

管理者のクレデンシャルを含むこのPAMディレクトリレコードは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません。

2. PAMの設定を指定

AWS環境のPAM設定が作成済みの場合は、ディレクトリユーザーのローテーションに必要なその他のリソースクレデンシャルを既存のPAM設定に追加すればよいだけです。

新しいPAM設定を作成する場合は、Keeperボルトにログインし、左側のメニューから[Secrets Manager]、[PAM設定]タブの順に選択して、[新規設定]をクリックします。 以下は、PAM設定レコードの必須フィールドとなります。

フィールド	説明
タイトル	設定名、例:AWS AD Configuration
環境	選択:AWS
ゲートウェイ	Keeperシークレットマネージャーアプリケーションで設定され、前提条件のActive Directoryサーバーにネットワークでアクセスできるゲートウェイを選択します
アプリケーションフォルダ	手順1のPAMディレクトリレコードを含む共有フォルダを選択します
管理者クレデンシャルレコード	手順1で作成したPAMディレクトリレコードを選択します これは、管理者のクレデンシャルが格納された、ディレクトリユーザーアカウントのクレデンシャルをローテーションするための十分な権限を持つレコードです
AWS ID	AWSのこのインスタンスの一意のID。これは参考用のため、何を指定してもよいですが、短くすることをお勧めします 例:AWS-1
アクセスキーID	EC2ロールポリシー（デフォルト）を使用している場合は、このフィールドをUSE_INSTANCE_ROLEに設定します。使用していない場合は、特定のアクセスキーIDを使用します。
シークレットアクセスキー	EC2ロールポリシー（デフォルト）を使用している場合は、このフィールドをUSE_INSTANCE_ROLEに設定します。使用していない場合は、特定のアクセスキーIDを使用します。
リージョン名	AWSリージョン名のリスト（1行に1つ） 例: us-east-1 us-east-2

PAMネットワーク設定レコードの設定可能なすべてのフィールドの詳細は、こちらのページをご参照ください。

3. 1つまたは複数のPAMユーザーレコードを設定

Keeperローテーションは、PAMディレクトリレコードのクレデンシャルを使用して、AWS環境のPAMユーザーレコードをローテーションします。PAMユーザーのクレデンシャルは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。

以下の表に、PAMユーザーレコードの必須フィールドをすべて一覧で表示します。

フィールド	説明
タイトル	Keeperのレコードタイトル (AWS Directory User1)
ログイン	ディレクトリサービスのユーザーアカウントのユーザー名
パスワード	アカウントパスワードはオプションです。空白の場合はローテーションで設定されます
識別名	ディレクトリサービスユーザーアカウントの識別名 (DN)

4. レコードのローテーションを設定 - ディレクトリユーザー

手順3で設定したPAMユーザーのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。

• 適切なスケジュールとパスワードの複雑さを選択します。

• [ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。

• [リソースクレデンシャル]フィールドで、手順1で設定されたPAMディレクトリクレデンシャルを選択する必要があります。

• 保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。

PAMユーザーのレコードに対するedit権限を持つユーザーならだれでも、そのレコードのローテーションを設定できます。

ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。

5. レコードのローテーションを設定 - ディレクトリ管理者

手順1で設定したPAMディレクトリのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。

• 適切なスケジュールとパスワードの複雑さを選択します。

• [ローテーション設定]では、以前に設定したPAM設定を使用する必要があります。

• [リソースクレデンシャル]フィールドで、手順1で設定されたPAMディレクトリクレデンシャルを選択する必要があります。

• 保存すると、ローテーションボタンが有効になり、必要に応じて、または選択したスケジュールでローテーションできるようになります。

ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。

トラブルシューティング

AWS Managed Directory Serviceユーザーの識別名を取得

次のWindowsコマンドを使用して、ディレクトリユーザーの識別名を取得できます。

Get-ADUser -Identity "username" | Select-Object -ExpandProperty DistinguishedName

コマンドが存在しない場合は、次のコマンドを使用して適切なモジュールをインポートする必要があります。

Import-Module ActiveDirectory