Windowsユーザー

ローカルネットワークでのWindowsユーザーアカウントのローテーション

概要

このガイドでは、Keeperローテーションを使用して、ローカルネットワーク内のWindowsユーザーアカウントをローテーションする方法について説明します。ローカルネットワークでのローテーションプロセスの大まかな概要は、こちらのページをご参照ください。

このガイドでは、以下の作業がすでに実行されていることを前提としています。

Keeperシークレットマネージャーが企業およびロールに対して有効になっていること。
Keeperローテーションがご利用のロールに対して有効になっていること。
Keeperシークレットマネージャーアプリケーションが作成済みであること。
Keeperローテーションゲートウェイがすでにインストールされており、オンラインになっていること。
接続方式
以下の方式からいずれかを選んで、対象のWindowsマシンで有効にします。
- WinRM: ポート5986で実行確認方法: winrm get winrm/configを実行してWinRMが実行されていることを確認します。
- SSH: ポート22で実行確認方法: ssh [your-user]@[your-machine] -p 22を実行してSSHが実行されていることを確認します。

Keeperローテーションは、管理者のクレデンシャルを使用して、ローカル環境内の他のアカウントのクレデンシャルをローテーションします。これらの管理者のクレデンシャルには、他のアカウントのクレデンシャルを正常に変更するための十分な権限が必要です。

このガイドでは、管理者のクレデンシャルをPAMマシンレコードに格納します。

以下は、PAMマシンレコードの必須フィールドとなります。

管理者のクレデンシャルを含むこのPAMマシンレコードは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、どのユーザーとも共有する必要はありません。

ローカル環境のPAM設定が作成済みの場合は、Windowsユーザーのローテーションに必要なその他のリソースクレデンシャルを既存のPAM設定に追加すればよいだけです。

新しいPAM設定を作成する場合は、Keeperボルトにログインし、左側のメニューから[Secrets Manager]、[PAM設定]タブの順に選択して、[新規設定]をクリックします。以下は、PAM設定レコードの必須フィールドとなります。

Keeperローテーションは、PAMマシンレコードのクレデンシャルを使用して、ローカル環境のPAMユーザーレコードをローテーションします。PAMユーザーのクレデンシャルは、前提条件で作成したKSMアプリケーションで共有される共有フォルダに格納されている必要があります。

以下は、PAMユーザーレコードの必須フィールドとなります。

手順3で設定したPAMユーザーのレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。

PAMユーザーのレコードに対するedit権限を持つユーザーならだれでも、そのレコードのローテーションを設定できます。

ローテーション設定画面に適切な管理者クレデンシャルが表示されていない場合は、Secrets Manager > [PAM設定]に移動し、必要なリソースクレデンシャルを追加します。

手順1で設定したPAMマシンレコードを選択し、そのレコードを編集して[パスワードローテーション設定]を開きます。

最終更新 1 か月前