Guacamoleセッションがアクティブでなくても有効状態を維持できる時間 (分単位）。デフォルトでは、Guacamoleセッションは1時間に制限されています。
この設定は、Guacamoleセッションにのみ影響し、リモートデスクトップセッションには影響しません。リモートデスクトップセッションの時間に制限を適用するには、リモートデスクトップサーバー内の関連する設定 (Windows RDPサーバーに設定するセッション時間制限のGPOなど) を変更する必要があります。Guacamoleは、リモートデスクトップセッションが接続されるとユーザーがアクティブであると見なし、接続されているがアイドル状態であるリモートデスクトップセッションについては区別しません
| ### `AWS_DISCOVERY_*` `AWS_DISCOVERY_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[AWS EC2ディスカバリ](/keeper-connection-manager/jp/using-keeper-connection-manager/aws-ec2-discovery.md)の設定プロパティに関連しています。 EC2ディスカバリを使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | ----------------------------- | ------------------------------------------------------ | | `AWS_DISCOVERY_ACCESS_KEY_ID` | AWSでの認証に使用する必要のあるAWSアカウントのアクセスキーID。 | | `AWS_DISCOVERY_SECRET_KEY` | アクセスキーに関連付けられた秘密鍵 | | `AWS_DISCOVERY_REGIONS` | `us-west-1、us-east-1`などのEC2インスタンスを照会するリージョンのカンマ区切りリスト。 | EC2ディスカバリに関連したその他のプロパティでは、他にも以下のオプションの環境変数を使用できます。 | 変数名 | 説明 | | --------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | | `AWS_DISCOVERY_INSTANCE_BASE_PATH` | 利便性を考慮し、EC2インスタンスを格納するために使用する必要のある組織の接続グループの名前。デフォルトでは、「Amazon EC2」になります。 | | `AWS_DISCOVERY_ADMIN_GROUP` | すべてのユーザーが検出されたEC2インスタンスを表示するために必要なKeeperコネクションマネージャーのユーザーグループの名前。デフォルトでは、「AWS EC 2 Administrators」という名前のグループになります。 | | `AWS_DISCOVERY_RECORD_CONNECTIONS_BY_DEFAULT` | 「true」に設定すると、すべての接続で画面録画がデフォルトで有効になります。接続セッションの記録は、「`kcm:record`」EC2インスタンスタグを使用して個々のマシンレベルで設定することもでき、その場合は、ここで設定した値が上書きされます。 | | `AWS_DISCOVERY_KSM_CONFIG` | KeeperボルトからEC2インスタンスの秘密鍵を取得するために使用する、base64でエンコードされたKeeperシークレットマネージャーの設定。 | | `AWS_DISCOVERY_KSM_API_CALL_INTERVAL` | Keeperシークレットマネージャーに対するAPI呼び出しの最小間隔 (ミリ秒単位)。デフォルトでは、KCMは呼び出すたびに10秒待機します。次の取得の試行が許可されるまでは、最後に取得したキャッシュデータを使用します。 | ### `BAN_*` `BAN_` で始まるすべての環境変数は、ウェブアプリケーションに対するブルートフォース認証攻撃が自動的にブロックする方法を設定するための構成プロパティに対応しています。これらの変数はすべて任意です。 | 変数名 | | | -------------------------- | ------------------------------------------------------------------------ | | `BAN_ADDRESS_DURATION` | IPアドレスが認証に繰り返し失敗した後に、一時的にブロックされる時間 (秒単位）。デフォルトでは、アドレスは5分間ブロックされます。 | | `BAN_MAX_ADDRESSES` | KCMが無効な試行回数をチェックするために追跡管理するIPアドレスの最大数。 デフォルトでは、最大10485760個のアドレスを追跡します。 | | `BAN_MAX_INVALID_ATTEMPTS` | 送信元IPアドレスが以降の試行を一時的にブロックされるまでに実行可能な無効の試行回数。デフォルトでは、認証に5回失敗すると一時ブロックされます。 | ### `CA_CERTIFICATES` この変数は任意で、内部証明機関 (CA) が使用する1つ以上の証明書の内容をPEM形式で指定します。指定した場合、これらの証明書に基づいてSSL/TLSを使用する他のサーバーへの接続 (SSL/TLSを使用するLDAPサーバーへの接続など) の検証が行われます。 ### `CATALINA_OPTS` この変数は任意で、Tomcatを実行するJVMに渡すべき任意のコマンドラインオプションを指定します。Tomcat固有のCATALINA\_OPTS環境変数に対応しており、HTTP プロキシの使用設定など、主にプラットフォームレベルのオプションを構成するために必要に応じて追加のシステムプロパティをJVMに渡すために使用されます。 例えば、Keeperシークレットマネージャー (KSM) などのサービスへのAPI呼び出しを含め、すべてのアウトバウンドHTTPS接続がHTTPプロキシを通過するようにしたい場合、以下のようにCATALINA\_OPTSを設定します。 ``` -Dhttps.proxyHost=my.proxy -Dhttps.proxyPort=3129 ``` ここで、「my.proxy」は使用する HTTP プロキシのホスト名または IP アドレス、「3129」はその TCP ポート番号です。 ### `CONTEXT_PATH` この変数はオプションで、Guacamoleウェブアプリケーションサービスを提供するパスを指定します。デフォルトでは、ウェブアプリケーションサービスはルートディレクトリ (`http://your-container:8080/`) で提供されますが、これは`CONTEXT_PATH`で別の場所の名前を設定することで上書きできます。 なお、`CONTEXT_PATH`による場所の指定では、スラッシュを使用できないことにご注意ください。より複雑にネストされたパスでウェブアプリケーションサービスを提供する必要がある場合は、NginxやApache HTTPDのようなリバースプロキシを使用する必要があります。 ### `DUO_*` Duo多要素認証を使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | ------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------- | | `DUO_API_HOSTNAME` | **必須**。ユーザーの認証を確認するために使用されるDuo APIエンドポイントのホスト名を指定します。このホスト名は、Guacamoleを「Web SDK」アプリケーションとしてDuoに追加した際に割り当てられます。この値は、Duoの「Admin」パネル内のアプリケーション詳細で確認できます。 | | `DUO_AUTH_TIMEOUT` | 進行中のDuo認証試行のタイムアウト時間 (分単位) です。この期間を超える認証試行は無効になります。デフォルトでは、Duo認証試行は5分後にタイムアウトします。 | | `DUO_CLIENT_ID` | **必須**。KCMが「Web SDK」アプリケーションとしてDuoに追加された際にDuoから提供されるクライアントIDです。この値はDuoの「Admin」パネル内のアプリケーション詳細で確認できます。 | | `DUO_CLIENT_SECRET` | **必須**。KCMが「Web SDK」アプリケーションとしてDuoに追加された際にDuoから提供されるクライアントシークレットです。この値はDuoの「Admin」パネル内のアプリケーション詳細で確認できます。 | | `DUO_REDIRECT_URI` | 必須。Duoサービスが認証されたユーザーのブラウザをKCMにリダイレクトするために使用するURIです。KCMデプロイメントで使用するURIです (例:受信したすべてのIDトークンの発行者。この値は、IDプロバイダが発行する必要があります。OpenID Connect Discoveryを実装するIDプロバイダの場合、この値はプロバイダの
「.well-known/openid-configuration」JSONファイルの「issuer」プロパティから取得できます。
| | `OPENID_JWKS_ENDPOINT` | 受信したIDトークン (JSON WebトークンすなわちJWT) の検証方法を定義するJWKSサービスのエンドポイント (URI）。この値は、IDプロバイダが発行する必要があります。OpenID Connect Discoveryを実装するIDプロバイダの場合、この値は、ご利用のプロバイダの「.well-known/openid-configuration」JSONファイルの「jwks\_uri」プロパティから取得できます。 | | `OPENID_REDIRECT_URI` | 認証プロセスの完了後に認証されたユーザーをKeeperコネクションマネージャーにリダイレクトできるように、OpenIDサービスに送信する必要のあるURI。これは、Keeperコネクションマネージャーにアクセスするためにユーザーがブラウザに入力する完全なURLである必要があります。認証プロセスの完了後に認証されたユーザーをKeeperコネクションマネージャーにリダイレクトできるように、OpenIDサービスに送信する必要のあるURI。これは、Keeperコネクションマネージャーにアクセスするためにユーザーがブラウザに入力する完全なURLである必要があります。 | オプション変数: | 変数名 | 説明 | | ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `OPENID_ALLOWED_CLOCK_SKEW` | GuacamoleサーバーのクロックとOpenIDサービスのクロック間のタイムスタンプ比較で許容されるクロックスキューの値 (秒単位）。デフォルトでは、最大30秒のクロックスキューが許容されます。 | | `OPENID_GROUPS_CLAIM_TYPE` | 認証されたユーザーがメンバーであるグループのリストを含む任意の有効なJWT内のクレームタイプ。デフォルトでは、「groups」クレームタイプが使用されます。 | | `OPENID_MAX_NONCE_VALIDITY` | Guacamoleサーバーによって生成されたnonce (使い捨ての一意な値) が有効である最大時間 (分単位) を設定します。各OpenIDリクエストには一意のnonce値が含まれているため、これにより特定のOpenIDリクエストがGuacamole内で成功した認証を行うための最大時間が設定されます。デフォルトでは、生成されたnonceは10分後に期限切れになります。 | | `OPENID_MAX_TOKEN_VALIDITY` | OpenIDトークンが有効状態を維持する最大時間 (分単位）。デフォルトでは、各OpenIDトークンの有効期限は300分 (5時間) です。 | | `OPENID_SCOPE` | 要求するOpenIDスコープのスペース区切りリスト。OpenIDスコープは、OpenIDトークン内で返される情報を特定するため、認証されたユーザーのユーザー名として使用できる値に影響します。OpenIDに準拠するには、少なくとも「openid profile」を要求する必要があります。デフォルトでは、「openid email profile」が使用されます。 | | `OPENID_USERNAME_CLAIM_TYPE` | 認証されたユーザーがメンバーであるグループのリストを含む任意の有効なJWT内のクレームタイプ。デフォルトでは、「groups」クレームタイプが使用されます。 | ### `POSTGRES_*` `POSTGRES_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[PostgreSQL認証](https://github.com/Keeper-Security/gitbook-jp-kcm/blob/main/installation/docker-compose-install/broken-reference/README.md)の設定プロパティに関連しています。 PostgreSQLを使用する予定の場合は、Guacamoleで使用するために自動的に初期化されるPostgreSQLデータベースが含まれる[`keeper/guacamole-db-postgres`イメージ](/keeper-connection-manager/jp/installation/docker-compose-install/database-images/keeper-guacamole-db-postgres.md)の使用をお勧めします。 PostgreSQL認証を使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | ------------------- | ------------------------------------------------- | | `POSTGRES_HOSTNAME` | Guacamoleデータベースを提供するPostgreSQLサーバーのホスト名またはIPアドレス。 | | `POSTGRES_DATABASE` | PostgreSQLサーバーでGuacamole用に作成されたデータベースの名前。 | | `POSTGRES_USERNAME` | GuacamoleがPostgreSQLサーバーで認証するときに使用するユーザー名。 | | `POSTGRES_PASSWORD` | GuacamoleがPostgreSQLサーバーで認証するときに指定するパスワード。 | PostgreSQL認証に関連したその他のプロパティでは、他にも以下のオプションの環境変数を使用できます。 | 変数名 | 説明 | | ------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `POSTGRES_PORT` | PostgreSQLサーバーの待ち受けTCPポート。省略した場合、標準のPostgreSQLポート5432が使用されます。 | | `POSTGRES_USER_PASSWORD_MIN_LENGTH` | ユーザーパスワードに必要な最小長。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `POSTGRES_USER_PASSWORD_REQUIRE_MULTIPLE_CASE` | 「true」に設定した場合、ユーザーパスワードに大文字と小文字の両方の使用を義務づけます。 | | `POSTGRES_USER_PASSWORD_REQUIRE_SYMBOL` | 「true」に設定した場合、ユーザーパスワードに少なくとも1つの記号の使用を義務づけます。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `POSTGRES_USER_PASSWORD_REQUIRE_DIGIT` | 「true」に設定した場合、ユーザーパスワードに少なくとも1つの数字の使用を義務づけます。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `POSTGRES_USER_PASSWORD_PROHIBIT_USERNAME` | 「true」に設定した場合、ユーザーのユーザー名を使用するユーザーパスワードを禁止します。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `POSTGRES_USER_PASSWORD_MIN_AGE` | パスワードの変更後、ユーザーが再度パスワードを変更できるようになるまでの最小経過日数。デフォルトでは、パスワードを変更するための待機期間は不要です。 | | `POSTGRES_USER_PASSWORD_MAX_AGE` | 最後のパスワード変更から、ユーザーがパスワードの変更を求められるまでの最大経過日数。デフォルトでは、ユーザーは定期的にパスワードを変更する必要はありません。 | | `POSTGRES_USER_PASSWORD_HISTORY_SIZE` | この数の分だけ過去のパスワードを記憶し、ユーザーがパスワードを変更する際に、記憶されたパスワードを流用することを禁止します。デフォルトでは、ユーザーは過去のパスワードを再利用できます。 | | `POSTGRES_DEFAULT_MAX_CONNECTIONS` | ユーザーに関係なく、特定の接続に許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、接続の同時使用は制限されません。 | | `POSTGRES_DEFAULT_MAX_GROUP_CONNECTIONS` | ユーザーに関係なく、特定の接続グループに許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、接続グループの同時使用は制限されません。 | | `POSTGRES_DEFAULT_MAX_CONNECTIONS_PER_USER` | 各ユーザーが特定の接続を保持できる同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、ユーザーごとの接続の同時使用は制限されません。 | | `POSTGRES_DEFAULT_MAX_GROUP_CONNECTIONS_PER_USER` | 各ユーザーが特定の接続グループを保持できる同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、ユーザーごとの接続グループの同時使用は、1つに制限されています。 | | `POSTGRES_ABSOLUTE_MAX_CONNECTIONS` | ユーザー、接続、または接続グループに関係なく、全体で許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、全体的な同時使用は制限されません。 | | `POSTGRES_USER_REQUIRED` | 「true」に設定した場合、ユーザー認証に他のメカニズム (LDAPなど) を使用した場合でも、各ユーザーに対応するアカウントがデータベース内に定義されている必要があります。デフォルトでは、別のメカニズムで認証に成功したユーザーは、データベース内にもアカウントを設定する必要はありません。 | | `POSTGRESQL_TRACK_EXTERNAL_CONNECTION_HISTORY` | データベース内に存在しない接続の接続履歴をデータベース内で追跡管理する必要があるか否か。「true」に設定すると、確立されたすべての接続に対して接続履歴の記録が作成されます。「false」に設定すると、データベースに定義された接続に対してのみ接続履歴の記録が作成されます。デフォルトでは、外部接続を追跡管理します。 | | `POSTGRESQL_ENFORCE_ACCESS_WINDOWS_FOR_ACTIVE_SESSIONS` | 管理者がユーザーアカウントに課したアクセス時間制限をユーザーのログイン中に適用するか否か。「true」 に設定すると、ユーザーはアクセス制限時間に達してから約1分以内に自動的にログアウトされます。「false」 に設定すると、アクセス時間制限はユーザーがログインしようとした瞬間にのみ適用されます。デフォルトでは、ユーザーがログインしている間も、アクセス時間制限が適用されます。 | | `POSTGRESQL_AUTO_CREATE_ACCOUNTS` | SSOプロバイダやLDAPなどの他の手段で認証に成功したユーザー用のユーザーアカウントエントリをデータベース内に自動的に作成するか否か。これは、TOTPやアカウントごとの承認など、アカウント固有の記憶領域を必要とする拡張機能を使用する場合に必要になることがあります。「true」に設定すると、ユーザーアカウントのエントリが自動的に作成されます。デフォルトでは、管理者は必要に応じてこのようなエントリを手動で作成する必要があります。 | ### `REQUIRE_ACCOUNT_APPROVAL` この変数は任意であり、ユーザーの認証に使用できるようになる前にアカウントごとに管理者の承認を必要とする拡張機能を指定します。デフォルトでは、インストールされている認証メソッドはすべて使用できます。 特定の認証メソッドの承認を必要とする場合は、以下のように承認を必要とする各拡張機能の名前をコンマで区切ってリストに記載します。 | 説明 | REQUIRE\_ACCOUNT\_APPROVALの値 | | ---------------------------- | ---------------------------- | | SAMLからのログインに承認を要求します。 | `saml` | | SAMLおよびLDAPからのログインに承認を要求します。 | `saml, ldap` | {% hint style="info" %} アカウントの承認ステータスは、KCMデータベース内にIDを持つユーザーに関してのみ保存および適用できます。使用しているデータベースに応じて、以下のいずれかの環境変数を「true」に設定することで、データベース内にまだ存在しないアカウントに対してこの記憶領域を自動的に作成するようにKCMに要求できます。 * [`MYSQL_AUTO_CREATE_ACCOUNTS`](#id-.glyptodon-guacamolev2.x-mysqlmysql_) * [`POSTGRESQL_AUTO_CREATE_ACCOUNTS`](#id-.glyptodon-guacamolev2.x-postgrespostgres_-1) * [`SQLSERVER_AUTO_CREATE_ACCOUNTS`](#id-.glyptodon-guacamolev2.x-sqlserversqlserver_) {% endhint %} ### **`SAML_*`** `SAML_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[SAML認証](https://github.com/Keeper-Security/gitbook-jp-kcm/blob/main/installation/docker-compose-install/broken-reference/README.md)の設定プロパティに関連しています。 SAML認証を使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | ------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | `SAML_CALLBACK_URL` | 認証結果をKeeperコネクションマネージャーにPOSTして、ユーザーをアプリケーションにリダイレクトできるように、SAMLサービスに送信する必要のあるURI。これは、Keeperコネクションマネージャーにアクセスするためにユーザーがブラウザに入力する完全なURLである必要があります。 | オプションの環境変数 | 変数名 | 説明 | | ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `SAML_COMPRESS_REQUEST` | SAML IdPに送信されるHTTPリクエストの圧縮を有効にします。このプロパティはオプションで、デフォルトは「true」 (圧縮有効) です。 | | `SAML_COMPRESS_RESPONSE` | IdPから返されたSAMLレスポンスの圧縮を要求します。このプロパティはオプションで、デフォルトは「true」 (圧縮を要求) です。 | | `SAML_ENTITY_ID` | Guacamole SAMLクライアントのエンティティID。通常はGuacamoleサーバーのURLですが、そうである必要はありません。このプロパティが必要になるのは、saml-idp-metadata-urlプロパティが指定されていない場合、または設定されたメタデータファイルにGuacamoleクライアントのSAML SPエンティティIDが含まれていない場合です。 | | `SAML_GROUP_ATTRIBUTE` | SAML IdPが提供する属性の名前。ユーザーのグループメンバーシップを含みます。これらのグループは解析され、ユーザーがログインするグループメンバーシップをマッピングするために使用されます。これは、特に他の認証モジュールと階層化されている場合に、Guacamoleクライアント内での権限管理に使用できます。このプロパティはオプションで、デフォルトは「groups」です。 | | `SAML_IDP_METADATA_URL` | SAML拡張がIdPで認証する方法を知るために必要な情報をすべて含む、SAML IDプロバイダから取得したXMLメタデータファイルのURI。このURIは、リモートサーバー ( (https\://) など) またはファイルシステム上のローカルファイル ( (file://) など) の場合もあります。メタデータファイルには、SAML認証に必要なプロパティがほとんど含まれている場合が多く、他のパラメータは必要ありません。 | | `SAML_IDP_URL` | SAML IdPのベースURL。これは、SAML認証拡張機能がSAML認証を要求するときに、リダイレクトに使用するURLです。saml-idp-metadata-url プロパティが設定されている場合、このパラメータは無視されます。メタデータファイルが設定されていない場合は、このプロパティが必要です。 | | `SAML_PRIVATE_KEY_PATH` | SAML IdPに送信されるSAMLリクエストの署名に使用するPEM形式の秘密鍵のフルパス。これは、SAML IdPがリクエストに署名を求める場合にのみ必要です。デフォルトでは、SAMLリクエストは署名されません。 | | `SAML_X509_CERT_PATH` | SAML IdPに送信されるSAMLリクエストの署名に使用するPEM形式のX.509証明書のフルパス。これは、SAML IdPがリクエストに署名を求める場合にのみ必要です。デフォルトでは、SAMLリクエストは署名されません。 | ### `SQLSERVER_*` `SQLSERVER_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[SQL Server認証](https://github.com/Keeper-Security/gitbook-jp-kcm/blob/main/installation/docker-compose-install/broken-reference/README.md)の設定プロパティに関連しています。 SQL Server認証を使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | -------------------- | --------------------------------------------------- | | `SQLSERVER_HOSTNAME` | Guacamoleデータベースを提供するSQL Serverインスタンスのホスト名またはIPアドレス。 | | `SQLSERVER_DATABASE` | SQL ServerインスタンスでGuacamole用に作成されたデータベースの名前。 | | `SQLSERVER_USERNAME` | GuacamoleがSQL Serverインスタンスで認証するときに使用するユーザー名。 | | `SQLSERVER_PASSWORD` | GuacamoleがSQL Serverインスタンスで認証するときに指定するパスワード。 | SQL Server認証に関連したその他のプロパティでは、他にも以下のオプションの環境変数を使用できます。 | 変数名 | 説明 | | ------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `SQLSERVER_PORT` | SQL Serverインスタンスの待ち受けTCPポート。省略した場合、標準のSQL Serverポート1433が使用されます。 | | `SQLSERVER_USER_PASSWORD_MIN_LENGTH` | ユーザーパスワードに必要な最小長。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `SQLSERVER_USER_PASSWORD_REQUIRE_MULTIPLE_CASE` | 「true」に設定した場合、ユーザーパスワードに大文字と小文字の両方の使用を義務づけます。 | | `SQLSERVER_USER_PASSWORD_REQUIRE_SYMBOL` | 「true」に設定した場合、ユーザーパスワードに少なくとも1つの記号の使用を義務づけます。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `SQLSERVER_USER_PASSWORD_REQUIRE_DIGIT` | 「true」に設定した場合、ユーザーパスワードに少なくとも1つの数字の使用を義務づけます。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `SQLSERVER_USER_PASSWORD_PROHIBIT_USERNAME` | 「true」に設定した場合、ユーザーのユーザー名を使用するユーザーパスワードを禁止します。デフォルトでは、パスワードの複雑度に強制ルールはありません。 | | `SQLSERVER_USER_PASSWORD_MIN_AGE` | パスワードの変更後、ユーザーが再度パスワードを変更できるようになるまでの最小経過日数。デフォルトでは、パスワードを変更するための待機期間は不要です。 | | `SQLSERVER_USER_PASSWORD_MAX_AGE` | 最後のパスワード変更から、ユーザーがパスワードの変更を求められるまでの最大経過日数。デフォルトでは、ユーザーは定期的にパスワードを変更する必要はありません。 | | `SQLSERVER_USER_PASSWORD_HISTORY_SIZE` | この数の分だけ過去のパスワードを記憶し、ユーザーがパスワードを変更する際に、記憶されたパスワードを流用することを禁止します。デフォルトでは、ユーザーは過去のパスワードを再利用できます。 | | `SQLSERVER_DEFAULT_MAX_CONNECTIONS` | ユーザーに関係なく、特定の接続に許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、接続の同時使用は制限されません。 | | `SQLSERVER_DEFAULT_MAX_GROUP_CONNECTIONS` | ユーザーに関係なく、特定の接続グループに許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、接続グループの同時使用は制限されません。 | | `SQLSERVER_DEFAULT_MAX_CONNECTIONS_PER_USER` | 各ユーザーが特定の接続を保持できる同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、ユーザーごとの接続の同時使用は制限されません。 | | `SQLSERVER_DEFAULT_MAX_GROUP_CONNECTIONS_PER_USER` | 各ユーザーが特定の接続グループを保持できる同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、ユーザーごとの接続グループの同時使用は、1つに制限されています。 | | `SQLSERVER_ABSOLUTE_MAX_CONNECTIONS` | ユーザー、接続、または接続グループに関係なく、全体で許可する同時接続の最大数。ここで、値「0」は無制限を示します。デフォルトでは、全体的な同時使用は制限されません。 | | `SQLSERVER_USER_REQUIRED` | 「true」に設定した場合、ユーザー認証に他のメカニズム (LDAPなど) を使用した場合でも、各ユーザーに対応するアカウントがデータベース内に定義されている必要があります。デフォルトでは、別のメカニズムで認証に成功したユーザーは、データベース内にもアカウントを設定する必要はありません。 | | `SQLSERVER_TRACK_EXTERNAL_CONNECTION_HISTORY` | データベース内に存在しない接続の接続履歴をデータベース内で追跡管理する必要があるか否か。「true」に設定すると、確立されたすべての接続に対して接続履歴の記録が作成されます。「false」に設定すると、データベースに定義された接続に対してのみ接続履歴の記録が作成されます。デフォルトでは、外部接続を追跡管理します。 | | `SQLSERVER_ENFORCE_ACCESS_WINDOWS_FOR_ACTIVE_SESSIONS` | 管理者がユーザーアカウントに課したアクセス時間制限をユーザーのログイン中に適用するか否か。「true」 に設定すると、ユーザーはアクセス制限時間に達してから約1分以内に自動的にログアウトされます。「false」 に設定すると、アクセス時間制限はユーザーがログインしようとした瞬間にのみ適用されます。デフォルトでは、ユーザーがログインしている間も、アクセス時間制限が適用されます。 | | `SQLSERVER_AUTO_CREATE_ACCOUNTS` | SSOプロバイダやLDAPなどの他の手段で認証に成功したユーザー用のユーザーアカウントエントリをデータベース内に自動的に作成するか否か。これは、TOTPやアカウントごとの承認など、アカウント固有の記憶領域を必要とする拡張機能を使用する場合に必要になることがあります。「true」に設定すると、ユーザーアカウントのエントリが自動的に作成されます。デフォルトでは、管理者は必要に応じてこのようなエントリを手動で作成する必要があります。 | ### `SSL_*` `SSL_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[SSL/TLSクライアント認証 (スマートカード認証)](/keeper-connection-manager/jp/authentication/ssl-tls-client-authentication.md) の設定プロパティに関連します。 SSL/TLSクライアント認証を使用する場合は、以下の環境変数が必要です。 | 変数名 | 説明 | | --------------------- | ------------------------------------------------------------------- | | `SSL_CLIENT_AUTH_URI` | このGuacamoleインスタンスを指し、SSL/TLSクライアント認証を要求する\_ワイルドカード\_URI。 | | `SSL_PRIMARY_URI` | このGuacamoleインスタンスを指し、SSL/TLSクライアント認証を要求\_しない\_\_ワイルドカードを使用しない\_URI。 | SSL/TLSクライアント認証に関連したその他のプロパティでは、他にも以下のオプションの環境変数を使用できます。 | 変数名 | 説明 | | -------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `SSL_CLIENT_CERTIFICATE_HEADER` | SSL/TLSクライアント認証を提供するSSLターミネーションサービスから受信したHTTPリクエストから取得した、URLエンコードされたクライアント証明書を取得するために使用するヘッダーの名前。デフォルトでは、`keeper/guacamole-ssl-nginx`イメージの動作と一致する、`X-Client-Certificate`が使用されます。 | | `SSL_CLIENT_VERIFIED_HEADER` | SSL/TLSクライアント認証を提供するSSLターミネーションサービスからHTTPリクエストが受信した証明書の検証ステータスを取得するために使用するヘッダーの名前。証明書が正常に検証された場合、このヘッダーの値は「SUCCESS」 (すべて大文字) である必要があります。デフォルトでは、`keeper/guacamole-ssl-nginx`イメージの動作と一致する、`X-Client-Verified`が使用されます。 | | `SSL_MAX_DOMAIN_VALIDITY` | SSL/TLS認証のために一時的に生成された一意のサブドメインの有効時間 (分単位)。デフォルトでは、一時的なサブドメインは5分間有効です。 | | `SSL_MAX_TOKEN_VALIDITY` | SSL/TLS認証のために一時的な認証トークンの有効時間 (分単位)。デフォルトでは、一時的な認証トークンは5分間有効です。 | | `SSL_SUBJECT_BASE_DN` | 有効なサブジェクトDNをすべて含むベースDN。指定した場合、このベースDNの下にあるサブジェクトDNを明示する証明書のみが受け入れられます。デフォルトでは、証明書が有効である限り、すべてのDNが受け入れられます。 | | `SSL_SUBJECT_USERNAME_ATTRIBUTE` | ユーザーのX .509証明書のサブジェクトDN内でユーザー名を表示するために使用できる1つまたは複数のLDAP属性。サブジェクトDNの最下位属性がこれらの属性のいずれでもない場合、証明書は拒否されます。デフォルトでは、任意の属性が受け入れられ、ユーザー名として使用されます。 | ### `TOTP_*` `TOTP_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[TOTP多要素認証](/keeper-connection-manager/jp/authentication/using-totp-for-multi-factor-authentication.md)の設定プロパティに関連しています。 | 変数名 | 説明 | | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `TOTP_ISSUER` | ユーザーアカウントを発行するエンティティの人間が判読できる名前。デフォルトでは、これは「Apache Guacamole」です。 | | `TOTP_DIGITS` | 生成された各コードで使用する必要のある桁数。TOTPでは、6桁、7桁、または8桁のコードを使用できます。これより長いコードや短いコードはTOTP規格に違反するため使用できません。デフォルトでは6桁のコードを使用します。 | | `TOTP_PERIOD` | 生成された各コードの有効時間 (秒単位）。コード生成時間は正の整数秒で指定され、任意の値を指定できますが、ユーザーがコードを入力するのに十分な時間が取れるように、この値は十分に長くする必要があります。この時間が経過すると、認証デバイスは新しいコードを生成します。デフォルトでは、生成されたコードは30秒間有効です。 | | `TOTP_MODE` | コードの生成に使用するハッシュアルゴリズム。有効なTOTPモード (ハッシュ) は、「sha 1」、「sha 256」、「sha 512」です。デフォルトでは「sha 1」が使用されます。 | ### `UDS_*` `UDS_`で始まる環境変数はすべて、通常は`guacamole.properties`内で指定される[UDS Enterprise](https://github.com/Keeper-Security/gitbook-jp-kcm/blob/main/installation/docker-compose-install/broken-reference/README.md)と連携するための設定プロパティに関連しています。 | 変数名 | 説明 | | -------------- | -------------------------------------------------------------------------------------------------------------------------- | | `UDS_BASE_URL` | リモートアクセスを提供するためにKeeperコネクションマネージャーを利用できるUDS EnterpriseデプロイのベースURL。Keeperコネクションマネージャーは、このURLを使用してUDSとやりとりし、接続要求を認証および認可します。 | ### `USER_MAPPING` この変数はオプションで、`/etc/guacamole/user-mapping.xml`ファイルの内容を完全に指定します。このファイルを使用すると、MySQL、PostgreSQL、LDAPなどのより複雑な認証メソッドを設定せずに、Guacamoleのデプロイをテストできます。これは、[Keeperコネクションマネージャーのインストール手順](https://newdocs.keeper.io/kcm-linux-rpm-method/installation)で説明されている認証メカニズムです。 このファイルの内容は基本的に機密であるため、後述のように`USE_SHM`環境変数が「N」に設定されていない限り、ファイルは単にメモリ (`/dev/shm`内) に格納されます。 ### `USE_DEFAULT_BRANDING` Keeperコネクションマネージャーには、独自のデフォルトのブランディングが付属しています。独自のカスタムブランディングを使用する場合は、オプションの`USE_DEFAULT_BRANDING`環境変数を「N」に設定して、Keeperのブランディングを無効にし、ご利用のブランディング拡張機能との競合を回避する必要があります。 ### `USE_SHM` この変数はオプションであり、既知の機密ファイルをメモリではなくディスクに強制的に保管するために使用できます。保管をディスクに強制するには、`USE_SHM`を「N」に設定します。 デフォルトでは、`keeper/guacamole`イメージは機密性が高いことがわかっているファイルの内容を`/dev/shm`内に保存するため、これらのファイルはメモリにのみ保存され、機密データがディスクに存続するおそれはありません。このようなファイルは起動中に環境変数からDockerイメージによって生成されるため、Dockerシークレットが使用されている場合に特に有効です。 ### Dockerシークレット 環境変数でデータを直接渡すのではなく、このイメージでサポートされている任意の環境変数に`_FILE`接尾辞を付加して、コンテナ内の指定されたファイルからその変数を強制的に読み込ませることができます。たとえば、ファイルから`/etc/guacamole/user-mapping.xml`を読み取る操作は以下のとおりです。 ``` docker run --name some-guacamole \ -e ACCEPT_EULA=Y \ -e GUACD_HOSTNAME=some-guacd \ -e USER_MAPPING_FILE=/some/volume/mount/user-mapping.xml \ -d keeper/guacamole ``` Dockerシークレットでは機密データがコンテナ内の`/run/secrets/`配下のファイルに格納されるため、これを使用して以下のように機密データをDockerシークレットから読み込めます。 ``` docker run --name some-guacamole \ -e ACCEPT_EULA=Y \ -e GUACD_HOSTNAME=some-guacd \ -e MYSQL_HOSTNAME=some-mysql \ -e MYSQL_DATABASE=guacamole_db \ -e MYSQL_USERNAME_FILE=/run/secrets/mysql-username \ -e MYSQL_PASSWORD_FILE=/run/secrets/mysql-password \ -d keeper/guacamole ``` --- # Agent Instructions: Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter: ``` GET https://docs.keeper.io/keeper-connection-manager/jp/installation/docker-compose-install/keeper-guacamole.md?ask=