KeeperPAMコマンド

検出、パスワードローテーション、接続、トンネル接続などのKeeperPAM機能の管理

概要

検出、パスワードローテーション、PAM構成、Keeperゲートウェイ構成など、KeeperPAMの各機能は、pam コマンドおよびそのサブコマンドを使用してコマンダー上で制御・操作できます。

PAMレコードタイプのコマンドリファレンスおよび使用例については、こちらのページをご参照ください。

pamコマンド

コマンド: pam

詳細: KeeperPAMの制御を行います。

My Vault> pam
pam command [--options]

Command     Description
----------  -----------------------------------------
gateway     Manage Gateways
config      Manage PAM Configurations
cnapp       Manage Cloud Security provider configuration and remediation queue
rotation    Manage Rotations
action      Execute action on the Gateway
tunnel      Manage Tunnels
split       Split credentials from legacy PAM Machine
legacy      Switch to legacy PAM commands
connection  Manage Connections
rbi         Manage Remote Browser Isolation
project     PAM Project Import/Export
launch      Launch a connection to a PAM resource
workflow    Manage PAM Workflows

サブコマンド

• gateway
• config
• cnapp
• rotation
• action
• tunnel
• split
• connection
• rbi
• project
• launch
• workflow

---

サブコマンド: gateway

詳細: Keeperゲートウェイサービスを表示、作成、編集、削除します。Keeperゲートウェイの詳細については、こちらのページをご参照ください。

My Vault> pam gateway help
pam command [--options]

Command            Description
-----------------  ------------------
list               List Gateways
new                Create new Gateway
edit               Edit Gateway
remove             Remove Gateway
set-max-instances  Set maximum gateway instances

list

コマンダーを使用しているユーザーがアクセス可能なKeeperゲートウェイを一覧表示します。

• 自身のボルトから直接操作できるゲートウェイ
• ユーザーのロールに含まれる管理ノードのいずれかに登録されているゲートウェイ

My Vault> pam gateway list -h
usage: pam [-h] [--force] [--verbose] [--format {table,json}]

options:
  -h, --help            show this help message and exit
  --force, -f           Force retrieval of gateways
  --verbose, -v         Verbose output
  --format {table,json} Output format (table, json)
  --online, -o          Show only online gateways

new

My Vault> pam gateway new -h
usage: dr-create-gateway [-h] --name GATEWAY_NAME --application KSM_APP [--token-expires-in-min TOKEN_EXPIRE_IN_MIN]
                         [--return_value] [--config-init {json,b64}]

options:
  -h, --help            show this help message and exit
  --name GATEWAY_NAME, -n GATEWAY_NAME
                        Name of the Gateway
  --application KSM_APP, -a KSM_APP
                        KSM Application name or UID. Use command `sm app list` to view available KSM Applications.
  --token-expires-in-min TOKEN_EXPIRE_IN_MIN, -e TOKEN_EXPIRE_IN_MIN
                        Time for the one time token to expire. Maximum 1440 minutes (24 hrs). Default: 60
  --return_value, -r    Return value from the command for automation purposes
  --config-init {json,b64}, -c {json,b64}
                        Initialize client config and return configuration string.

edit

ゲートウェイ名や登録ノードを変更できます。Keeper管理コンソールの [シークレットマネージャー] → [ゲートウェイ] からも同じ操作ができます。

My Vault> pam gateway edit -h
usage: pam [-h] [--gateway GATEWAY] [--name GATEWAY_NAME] [--node-id NODE_ID]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway UID or Name
  --name GATEWAY_NAME, -n GATEWAY_NAME
                        Name of the Gateway
  --node-id NODE_ID, -i NODE_ID
                        Node ID

remove

ゲートウェイを削除します。この操作を実行するユーザーは、ゲートウェイの親アプリケーションに対する管理者権限を持っている必要があります。

My Vault> pam gateway remove -h
usage: pam [-h] --gateway GATEWAY

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        UID of the Gateway

set-max-instances

ゲートウェイプールの最大インスタンス数を設定します。高可用性の構成で利用します。

My Vault> pam gateway set-max-instances -h
usage: pam [-h] --gateway GATEWAY --max-instances MAX_INSTANCES

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway UID or Name
  --max-instances MAX_INSTANCES, -m MAX_INSTANCES
                        Maximum number of gateway instances (must be >= 1)

---

サブコマンド: config

詳細: Keeper PAM構成の表示、作成、編集、削除を行います。PAM構成の詳細については、こちらをご参照ください。

My Vault> pam config help
pam command [--options]

Command    Description
---------  -------------------------------------------------------------
new        Create new PAM Configuration
edit       Edit PAM Configuration
list       List available PAM Configurations associated with the Gateway
remove     Remove a PAM Configuration

new

My Vault> pam config new -h
usage: pam [-h] [--environment {local,aws,azure,gcp,domain,oci}] [--title TITLE]
           [--gateway GATEWAY_UID] [--shared-folder SHARED_FOLDER_UID] [--schedule DEFAULT_SCHEDULE]    
           [--port-mapping PORT_MAPPING] [--identity-provider IDENTITY_PROVIDER_UID]
           [--network-id NETWORK_ID] [--network-cidr NETWORK_CIDR] [--aws-id AWS_ID]
           [--access-key-id ACCESS_KEY_ID] [--access-secret-key ACCESS_SECRET_KEY]
           [--region-name REGION_NAMES] [--azure-id AZURE_ID] [--client-id CLIENT_ID]
           [--client-secret CLIENT_SECRET] [--subscription_id SUBSCRIPTION_ID] [--tenant-id TENANT_ID]  
           [--resource-group RESOURCE_GROUPS] [--domain-id DOMAIN_ID]
           [--domain-hostname DOMAIN_HOSTNAME] [--domain-port DOMAIN_PORT]
           [--domain-use-ssl {true,false}] [--domain-scan-dc-cidr {true,false}]
           [--domain-network-cidr DOMAIN_NETWORK_CIDR]
           [--domain-admin DOMAIN_ADMINISTRATIVE_CREDENTIAL] [--domain-user-match DOMAIN_USER_MATCH]    
           [--oci-id OCI_ID] [--oci-admin-id OCI_ADMIN_ID]
           [--oci-admin-public-key OCI_ADMIN_PUBLIC_KEY]
           [--oci-admin-private-key OCI_ADMIN_PRIVATE_KEY] [--oci-tenancy OCI_TENANCY]
           [--oci-region OCI_REGION] [--gcp-id GCP_ID] [--service-account-key SERVICE_ACCOUNT_KEY]      
           [--google-admin-email GOOGLE_ADMIN_EMAIL] [--gcp-region REGION_NAMES]
           [--connections {on,off,default}] [--tunneling {on,off,default}]
           [--rotation {on,off,default}] [--remote-browser-isolation {on,off,default}]
           [--connections-recording {on,off,default}] [--typescript-recording {on,off,default}]
           [--ai-threat-detection {on,off,default}]
           [--ai-terminate-session-on-detection {on,off,default}]

options:
  -h, --help            show this help message and exit
  --environment, -env {local,aws,azure,gcp,domain,oci}
                        PAM Configuration Type
  --title, -t TITLE     Title of the PAM Configuration
  --gateway, -g GATEWAY_UID
                        Gateway UID or Name
  --shared-folder, -sf SHARED_FOLDER_UID
                        Share Folder where this PAM Configuration is stored. Should be one of the       
                        folders to which the gateway has access to.
  --schedule, -sc DEFAULT_SCHEDULE
                        Default Schedule: Use CRON syntax
  --port-mapping, -pm PORT_MAPPING
                        Port Mapping
  --identity-provider, -idp IDENTITY_PROVIDER_UID
                        Identity Provider UID
  --connections, -c {on,off,default}
                        Set connections permissions
  --tunneling, -u {on,off,default}
                        Set tunneling permissions
  --rotation, -r {on,off,default}
                        Set rotation permissions
  --remote-browser-isolation, -rbi {on,off,default}
                        Set remote browser isolation permissions
  --connections-recording, -cr {on,off,default}
                        Set recording connections permissions for the resource
  --typescript-recording, -tr {on,off,default}
                        Set TypeScript recording permissions for the resource
  --ai-threat-detection {on,off,default}
                        Set AI threat detection permissions
  --ai-terminate-session-on-detection {on,off,default}
                        Set AI session termination on threat detection permissions

network:
  Local network configuration

  --network-id NETWORK_ID
                        Network ID
  --network-cidr NETWORK_CIDR
                        Network CIDR

aws:
  AWS configuration

  --aws-id AWS_ID       AWS ID
  --access-key-id ACCESS_KEY_ID
                        Access Key Id
  --access-secret-key ACCESS_SECRET_KEY
                        Access Secret Key
  --region-name REGION_NAMES
                        Region Names

azure:
  Azure configuration

  --azure-id AZURE_ID   Azure Id
  --client-id CLIENT_ID
                        Client Id
  --client-secret CLIENT_SECRET
                        Client Secret
  --subscription_id SUBSCRIPTION_ID
                        Subscription Id
  --tenant-id TENANT_ID
                        Tenant Id
  --resource-group RESOURCE_GROUPS
                        Resource Group

domain:
  Domain configuration

  --domain-id DOMAIN_ID
                        Domain ID
  --domain-hostname DOMAIN_HOSTNAME
                        Domain hostname
  --domain-port DOMAIN_PORT
                        Domain port
  --domain-use-ssl {true,false}
                        Domain use SSL flag
  --domain-scan-dc-cidr {true,false}
                        Domain scan DC CIDR flag
  --domain-network-cidr DOMAIN_NETWORK_CIDR
                        Domain Network CIDR
  --domain-admin DOMAIN_ADMINISTRATIVE_CREDENTIAL
                        Domain administrative credential
  --domain-user-match DOMAIN_USER_MATCH
                        Domain user match filter

oci:
  OCI configuration

  --oci-id OCI_ID       OCI ID
  --oci-admin-id OCI_ADMIN_ID
                        OCI Admin ID
  --oci-admin-public-key OCI_ADMIN_PUBLIC_KEY
                        OCI admin public key
  --oci-admin-private-key OCI_ADMIN_PRIVATE_KEY
                        OCI admin private key
  --oci-tenancy OCI_TENANCY
                        OCI tenancy
  --oci-region OCI_REGION
                        OCI region

gcp:
  GCP configuration

  --gcp-id GCP_ID       GCP Id
  --service-account-key SERVICE_ACCOUNT_KEY
                        Service Account Key (JSON format)
  --google-admin-email GOOGLE_ADMIN_EMAIL
                        Google Workspace Administrator Email Address
  --gcp-region REGION_NAMES
                        GCP Region Names

edit

My Vault> pam config edit -h
usage: pam [-h] [--environment {local,aws,azure,gcp,domain,oci}] [--title TITLE]
           [--gateway GATEWAY_UID] [--shared-folder SHARED_FOLDER_UID] [--schedule DEFAULT_SCHEDULE]    
           [--port-mapping PORT_MAPPING] [--identity-provider IDENTITY_PROVIDER_UID]
           [--network-id NETWORK_ID] [--network-cidr NETWORK_CIDR] [--aws-id AWS_ID]
           [--access-key-id ACCESS_KEY_ID] [--access-secret-key ACCESS_SECRET_KEY]
           [--region-name REGION_NAMES] [--azure-id AZURE_ID] [--client-id CLIENT_ID]
           [--client-secret CLIENT_SECRET] [--subscription_id SUBSCRIPTION_ID] [--tenant-id TENANT_ID]  
           [--resource-group RESOURCE_GROUPS] [--domain-id DOMAIN_ID]
           [--domain-hostname DOMAIN_HOSTNAME] [--domain-port DOMAIN_PORT]
           [--domain-use-ssl {true,false}] [--domain-scan-dc-cidr {true,false}]
           [--domain-network-cidr DOMAIN_NETWORK_CIDR]
           [--domain-admin DOMAIN_ADMINISTRATIVE_CREDENTIAL] [--domain-user-match DOMAIN_USER_MATCH]    
           [--oci-id OCI_ID] [--oci-admin-id OCI_ADMIN_ID]
           [--oci-admin-public-key OCI_ADMIN_PUBLIC_KEY]
           [--oci-admin-private-key OCI_ADMIN_PRIVATE_KEY] [--oci-tenancy OCI_TENANCY]
           [--oci-region OCI_REGION] [--gcp-id GCP_ID] [--service-account-key SERVICE_ACCOUNT_KEY]      
           [--google-admin-email GOOGLE_ADMIN_EMAIL] [--gcp-region REGION_NAMES]
           [--remove-resource-record REMOVE_RECORDS] [--connections {on,off,default}]
           [--tunneling {on,off,default}] [--rotation {on,off,default}]
           [--remote-browser-isolation {on,off,default}] [--connections-recording {on,off,default}]     
           [--typescript-recording {on,off,default}] [--ai-threat-detection {on,off,default}]
           [--ai-terminate-session-on-detection {on,off,default}]
           uid

positional arguments:
  uid                   The Config UID to edit

options:
  -h, --help            show this help message and exit
  --environment, -env {local,aws,azure,gcp,domain,oci}
                        PAM Configuration Type
  --title, -t TITLE     Title of the PAM Configuration
  --gateway, -g GATEWAY_UID
                        Gateway UID or Name
  --shared-folder, -sf SHARED_FOLDER_UID
                        Share Folder where this PAM Configuration is stored. Should be one of the       
                        folders to which the gateway has access to.
  --schedule, -sc DEFAULT_SCHEDULE
                        Default Schedule: Use CRON syntax
  --port-mapping, -pm PORT_MAPPING
                        Port Mapping
  --identity-provider, -idp IDENTITY_PROVIDER_UID
                        Identity Provider UID
  --remove-resource-record, -rrr REMOVE_RECORDS
                        Resource Record UID to remove
  --connections, -c {on,off,default}
                        Set connections permissions
  --tunneling, -u {on,off,default}
                        Set tunneling permissions
  --rotation, -r {on,off,default}
                        Set rotation permissions
  --remote-browser-isolation, -rbi {on,off,default}
                        Set remote browser isolation permissions
  --connections-recording, -cr {on,off,default}
                        Set recording connections permissions for the resource
  --typescript-recording, -tr {on,off,default}
                        Set TypeScript recording permissions for the resource
  --ai-threat-detection {on,off,default}
                        Set AI threat detection permissions
  --ai-terminate-session-on-detection {on,off,default}
                        Set AI session termination on threat detection permissions

network:
  Local network configuration

  --network-id NETWORK_ID
                        Network ID
  --network-cidr NETWORK_CIDR
                        Network CIDR

aws:
  AWS configuration

  --aws-id AWS_ID       AWS ID
  --access-key-id ACCESS_KEY_ID
                        Access Key Id
  --access-secret-key ACCESS_SECRET_KEY
                        Access Secret Key
  --region-name REGION_NAMES
                        Region Names

azure:
  Azure configuration

  --azure-id AZURE_ID   Azure Id
  --client-id CLIENT_ID
                        Client Id
  --client-secret CLIENT_SECRET
                        Client Secret
  --subscription_id SUBSCRIPTION_ID
                        Subscription Id
  --tenant-id TENANT_ID
                        Tenant Id
  --resource-group RESOURCE_GROUPS
                        Resource Group

domain:
  Domain configuration

  --domain-id DOMAIN_ID
                        Domain ID
  --domain-hostname DOMAIN_HOSTNAME
                        Domain hostname
  --domain-port DOMAIN_PORT
                        Domain port
  --domain-use-ssl {true,false}
                        Domain use SSL flag
  --domain-scan-dc-cidr {true,false}
                        Domain scan DC CIDR flag
  --domain-network-cidr DOMAIN_NETWORK_CIDR
                        Domain Network CIDR
  --domain-admin DOMAIN_ADMINISTRATIVE_CREDENTIAL
                        Domain administrative credential
  --domain-user-match DOMAIN_USER_MATCH
                        Domain user match filter

oci:
  OCI configuration

  --oci-id OCI_ID       OCI ID
  --oci-admin-id OCI_ADMIN_ID
                        OCI Admin ID
  --oci-admin-public-key OCI_ADMIN_PUBLIC_KEY
                        OCI admin public key
  --oci-admin-private-key OCI_ADMIN_PRIVATE_KEY
                        OCI admin private key
  --oci-tenancy OCI_TENANCY
                        OCI tenancy
  --oci-region OCI_REGION
                        OCI region

gcp:
  GCP configuration

  --gcp-id GCP_ID       GCP Id
  --service-account-key SERVICE_ACCOUNT_KEY
                        Service Account Key (JSON format)
  --google-admin-email GOOGLE_ADMIN_EMAIL
                        Google Workspace Administrator Email Address
  --gcp-region REGION_NAMES
                        GCP Region Names

list

My Vault> pam config list -h                                                                                                                            
usage: pam config list [-h] [--config PAM_CONFIGURATION] [--verbose] [--format {table,json}]

options:
  -h, --help            show this help message and exit
  --config, -c PAM_CONFIGURATION
                        Specific PAM Configuration UID
  --verbose, -v         Verbose
  --format {table,json}
                        Output format (table, json)

remove

My Vault> pam config remove -h                                                                                                                          
usage: pam config remove [-h] uid

positional arguments:
  uid         PAM Configuration UID. To view all rotation settings with their UIDs, use command `pam config list`

options:
  -h, --help  show this help message and exit

---

サブコマンド: cnapp

詳細: クラウドセキュリティのプロバイダ構成と是正キューを管理します。Wiz連携およびKeeper Encrypterで使うクラウドセキュリティのワークフローに対応しています。

My Vault> pam cnapp help
pam cnapp
├── config (c)
│   ├── set              Create or update the provider configuration
│   ├── test             Validate credentials without saving
│   ├── test-encrypter   Health-check the customer Encrypter
│   ├── read             Read the persisted configuration
│   └── delete           Delete the configuration
└── queue (q)
    ├── list (l)         List queued issues
    ├── associate (a)    Attach a vault record to a queue item
    ├── remediate (r)    Trigger a remediation action via the Gateway
    ├── set-status (s)   Update an issue's status
    └── delete (d)       Delete a queue item

サブコマンド

• 構成

  • config set
  • config test
  • config test-encrypter
  • config read
  • config delete
• キュー

  • queue list
  • queue associate
  • queue remediate
  • queue set-status
  • queue delete
• 参考

  • 検出結果のステータス値
  • ペイロードの復号
  • 使用例

概要

構成用のコマンドは pam cnapp config (省略形: pam cnapp c) で実行します。

キュー用のコマンドは pam cnapp queue (省略形: pam cnapp q) で実行します。

現在利用できるプロバイダキーワードは wiz のみです。

config set

ネットワーク上のCNAPPプロバイダ構成を作成または更新します。保存前にプロバイダへ認証情報の検証が行われます。

pam cnapp config set --network-uid <UID> --provider wiz --client-id <ID> \
  --api-endpoint <URL> --auth-endpoint <URL> --config-record <UID> \
  [--client-secret <SECRET>]

フラグ	必須	説明
--network-uid, -n	はい	base64url形式のネットワークレコードUID
--provider, -p	はい	プロバイダキーワード (wiz を指定)
--client-id	はい	プロバイダAPIのクライアントIDまたはアプリID
--client-secret	いいえ	プロバイダAPIのクライアントシークレット (既存構成の編集時に省略すると保存済みのシークレットを維持)
--api-endpoint	はい	プロバイダAPIエンドポイントURL (例: https://api.us1.app.wiz.io/graphql)
--auth-endpoint	はい	プロバイダOAuth2トークンエンドポイントURL (例: https://auth.app.wiz.io/oauth/token)
--config-record	はい	Encrypter URLと暗号化キーを保持するボルトレコードのUID

成功すると、保存された構成が表示されます。

--auth-endpoint を使用すると、コード変更なしで適切なテナントまたはリージョンを指定できます。

config test

保存せずにプロバイダの認証情報を検証します。

pam cnapp config test --network-uid <UID> --provider wiz --client-id <ID> \
  --client-secret <SECRET> --api-endpoint <URL> --auth-endpoint <URL>

フラグ	必須	説明
--network-uid, -n	はい	base64url形式のネットワークレコードUID
--provider, -p	はい	プロバイダキーワード (wiz を指定)
--client-id	はい	プロバイダAPIのクライアントID
--client-secret	はい	プロバイダAPIのクライアントシークレット
--api-endpoint	はい	プロバイダAPIエンドポイントURL
--auth-endpoint	はい	プロバイダOAuth2トークンエンドポイントURL

成功すると CNAPP credentials validated successfully. が表示されます。

認証情報が拒否された場合、プロバイダから返された理由が出力されます。

config test-encrypter

お客様環境にデプロイしたEncrypterの稼働確認を行います。Keeper Routerは <url>/health にアクセスして確認します。

pam cnapp config test-encrypter --url <BASE_URL>

フラグ	必須	説明
--url, -u	はい	EncrypterのベースURL。/health は自動的に付加されます

config set の前に実行し、Encrypterに接続できるか確認できます。

成功すると Encrypter is reachable. が表示されます。

config read

ネットワークに保存済みのCNAPP構成を読み取ります。

クライアントシークレットはサーバーから返されません。

pam cnapp config read --network-uid <UID> --provider wiz [--format table|json]

フラグ	必須	説明
--network-uid, -n	はい	base64url形式のネットワークレコードUID
--provider, -p	はい	プロバイダキーワード (wiz を指定)
--format	いいえ	出力形式。デフォルト: table

応答にはエンドポイント、クライアントID、EncrypterレコードUIDが含まれます。

config delete

ネットワークからCNAPP構成を削除します。

pam cnapp config delete --network-uid <UID>

フラグ	必須	説明
--network-uid, -n	はい	base64url形式のネットワークレコードUID

ネットワークに構成が存在しない場合、コマンドは失敗します。

queue list

ネットワークにキューイングされたCNAPP検出結果を一覧表示します。

デフォルトでは、コマンダーが各ペイロードをローカルで復号し、読みやすい概要を表示しようとします。詳しくはペイロードの復号をご参照ください。

pam cnapp queue list --network-uid <UID> [--status <STATUS>] [--provider wiz] \
  [--config-record <UID>] [--no-decrypt] [--format table|json]

フラグ	必須	説明
--network-uid, -n	はい	base64url形式のネットワークレコードUID
--status, -s	いいえ	ステータス名または数値IDでフィルター (デフォルト: すべてのステータス。検出結果のステータス値を参照)
--provider, -p	いいえ	構成参照に使うプロバイダキーワード (デフォルト: wiz)
--config-record	いいえ	EncrypterボルトレコードUIDの明示指定 (config read による自動参照を上書き)
--no-decrypt	いいえ	ペイロードの復号をスキップし、暗号化されたエンベロープのメタデータのみ表示
--format	いいえ	出力形式 (デフォルト: table)

テーブル出力にはQueue ID、Provider、Status、Received UTC、Resolved UTC、関連付けられたRecord UID、検出結果の概要が含まれます。

注記

• Encrypterキーを解決できない場合、ペイロードは <encrypted> として表示され、警告が出力されます。
• 自動参照でキーを解決できない場合は --config-record <UID> を指定してください。
• ページングには未対応です。hasMore がtrueの場合は、返された項目を解決または削除すると残りが表示されます。

queue associate

キューアイテムにボルトレコードを関連付けます。

是正の前に関連付けが必要です。ゲートウェイが操作対象の認証情報を特定するためです。

pam cnapp queue associate --queue-id <ID> --record-uid <UID>

フラグ	必須	説明
--queue-id, -q	はい	queue list から取得したキューアイテムID
--record-uid, -r	はい	関連付けるボルトレコードUID (base64url形式)

queue remediate

キューに入った検出結果に対する是正アクションをゲートウェイで実行します。

pam cnapp queue remediate --queue-id <ID> --action <ACTION> [options]

フラグ	必須	説明
--queue-id, -q	はい	キューアイテムID
--action, -a	はい	是正アクション (下記のアクションタイプを参照)
--provider, -p	いいえ	プロバイダキーワード (省略時はキューアイテムからKeeper Routerが解決)
--config-record	いいえ	構成レコードUID (一部のアクションでのみ必須)
--resource-ref	いいえ	アクション用のリソース参照UID
--pwd-complexity	いいえ	rotate_credentials 用のパスワード複雑性JSON
--controller-uid	いいえ	ゲートウェイUIDの上書き
--message-uid	いいえ	ストリーミング応答用のクライアント生成会話UID
--group-name	いいえ	remove_standing_privilege 専用のグループ名

アクションタイプ

アクション	説明
rotate_credentials	検出結果に関連付けられた認証情報のローテーション
manage_access	フラグが立てられたリソースへのアクセス管理
jit_access	ジャストインタイムアクセスの付与
remove_standing_privilege	常時特権の削除 (--group-name と併用)

現時点では、Keeper Routerが送信するのは rotate_credentials のみです。その他のアクションはサーバー側で有効化されるまで、エラーになる場合があります。

成功すると、実行したアクション、結果のステータス、結果メッセージが表示されます。

queue set-status

キューアイテムのローカルステータスを更新します。

Keeper Routerは可能な範囲でプロバイダへ通知します。

pam cnapp queue set-status --queue-id <ID> --status <STATUS> [--reason <TEXT>]

フラグ	必須	説明
--queue-id, -q	はい	キューアイテムID
--status, -s	はい	新しいステータス名または数値ID (0 または all は指定不可)
--reason	いいえ	プロバイダ通知に転送する自由形式の理由

queue delete

キューアイテムを完全に削除します。

pam cnapp queue delete --queue-id <ID>

フラグ	必須	説明
--queue-id, -q	はい	削除するキューアイテムID

キューIDが不明な場合、コマンドは失敗します。

検出結果のステータス値

--status に渡すステータスフラグは、大文字小文字を区別しない名前または数値IDのいずれかを受け付けます。

名前	ID
pending	1
in_progress	2
resolved	3
failed	4
cancelled	5

queue list では、ステータス 0 または空の値はすべてのステータスを意味します。

queue set-status では、0 と all は拒否されます。

ペイロードの復号

各キューアイテムのペイロードは暗号化されて保存されています。コマンダーはローカルで復号し、読みやすい概要を表示します。

1. AES-256-GCMキーはEncrypterレコードから取得されます。
2. キーは --config-record または config read で解決される cnappConfigRecordUid から取得されます。
3. キーはEncrypterボルトレコードの Encryption Key フィールドから読み取られます。
4. フィールドは secret または note 型のいずれかです。
5. キーは32バイトで、base64またはbase64urlでエンコードされている必要があります。
6. ペイロードはnonce、ciphertext、tagを使用してAES-256-GCMで復号されます。
7. 復号されたペイロードはJSONとして解析されます。

キーを解決できない場合、または復号に失敗した場合でも、検出結果は一覧に表示され、Issue列に <encrypted> が表示されます。

--no-decrypt を使用すると、復号をスキップしてメタデータのみを表示できます。

使用例

認証情報を検証してから構成を保存する

# 1. Encrypterに接続できるか確認
pam cnapp config test-encrypter --url https://encrypter.internal.example.com

# 2. 保存せずにプロバイダの認証情報を検証
pam cnapp config test \
  --network-uid nB2c3D4e5F6g7H8i9J0kLm \
  --provider wiz \
  --client-id my-wiz-client-id \
  --client-secret "MyWizClientSecret" \
  --api-endpoint https://api.us1.app.wiz.io/graphql \
  --auth-endpoint https://auth.app.wiz.io/oauth/token

# 3. 構成を保存
pam cnapp config set \
  --network-uid nB2c3D4e5F6g7H8i9J0kLm \
  --provider wiz \
  --client-id my-wiz-client-id \
  --client-secret "MyWizClientSecret" \
  --api-endpoint https://api.us1.app.wiz.io/graphql \
  --auth-endpoint https://auth.app.wiz.io/oauth/token \
  --config-record eNc2Rypt3rReCoRdUiD01

保存済みのシークレットを変更せずにエンドポイントを更新する

pam cnapp config set \
  --network-uid nB2c3D4e5F6g7H8i9J0kLm \
  --provider wiz \
  --client-id my-wiz-client-id \
  --api-endpoint https://api.eu1.app.wiz.io/graphql \
  --auth-endpoint https://auth.app.wiz.io/oauth/token \
  --config-record eNc2Rypt3rReCoRdUiD01

現在の構成をJSONで読み取る

pam cnapp config read --network-uid nB2c3D4e5F6g7H8i9J0kLm --provider wiz --format json

キューに入った検出結果をすべて一覧表示する

pam cnapp queue list --network-uid nB2c3D4e5F6g7H8i9J0kLm

ペイロードを復号せずに保留中の検出結果のみを一覧表示する

pam cnapp queue list --network-uid nB2c3D4e5F6g7H8i9J0kLm --status pending --no-decrypt

Encrypterレコードを明示的に指定して検出結果を一覧表示する

pam cnapp queue list \
  --network-uid nB2c3D4e5F6g7H8i9J0kLm \
  --config-record eNc2Rypt3rReCoRdUiD01 \
  --format json

認証情報のローテーションによる検出結果の是正

# 1. ローテーション対象の認証情報を保持するボルトレコードを関連付け
pam cnapp queue associate --queue-id 42 --record-uid rEcOrDuIdToRoTaTe123

# 2. ゲートウェイでローテーションを実行
pam cnapp queue remediate --queue-id 42 --action rotate_credentials

理由を付けて検出結果を解決済みにする

pam cnapp queue set-status --queue-id 42 --status resolved --reason "Rotated and verified"

キューアイテムを削除する

pam cnapp queue delete --queue-id 42

構成を削除する

pam cnapp config delete --network-uid nB2c3D4e5F6g7H8i9J0kLm

---

サブコマンド: connection

このコマンドは、PAMマシンおよびPAMデータベースのレコードに紐づく接続パラメータおよびユーザーアカウントを編集します。一括での処理には、run-batch コマンドを使用できます。接続を開始するにはKeeperボルトかデスクトップアプリを使用します。

要件: PAMユーザー認証情報、PAMマシンまたはPAMデータベースのレコードが共有フォルダに登録されており、ゲートウェイが構成済みで、すべてがPAM構成で連携されていることを確認してください。

edit

usage: pam connection edit [-h] [--configuration CONFIG] [--admin-user ADMIN] [--launch-user LAUNCH_USER] [--protocol {,http,kubernetes,mysql,postgresql,rdp,sql-server,ssh,telnet,vnc}] [--connections {on,off,default}]
                           [--connections-recording {on,off,default}] [--typescript-recording {on,off,default}] [--connections-override-port CONNECTIONS_OVERRIDE_PORT] [--key-events {on,off,default}] [--silent]
                           record

positional arguments:
  record                The record UID or path of the PAM resource record with network information to use for connections

options:
  -h, --help            show this help message and exit
  --configuration, -c CONFIG
                        The PAM Configuration UID or path to use for connections. Use command `pam config list` to view available PAM Configurations.
  --admin-user, -a ADMIN
                        The record path or UID of the PAM User record to configure the admin credential on the PAM Resource
  --launch-user, -lu LAUNCH_USER
                        The record path or UID of the PAM User record to configure as the launch credential on the PAM Resource
  --clear-launch-user   Remove the launch credential from the resource (clears is_launch_credential in the DAG)
  --protocol, -p {,http,kubernetes,mysql,postgresql,rdp,sql-server,ssh,telnet,vnc}
                        Set connection protocol
  --connections, -cn {on,off,default}
                        Set connections permissions
  --connections-recording, -cr {on,off,default}
                        Set recording connections permissions for the resource
  --typescript-recording, -tr {on,off,default}
                        Set TypeScript recording permissions for the resource
  --connections-override-port, -cop CONNECTIONS_OVERRIDE_PORT
                        Port to use for connections. If not provided, the port from the record will be used.
  --key-events, -k {on,off,default}
                        Toggle Key Events settings
  --scrollback, -sb SCROLLBACK
                        Maximum Scrollback Size (terminal history). Integer to set, empty string to remove.        
                        Supported for pamDatabase (mysql/postgresql/sql-server) and pamMachine/pamDirectory        
                        (ssh/telnet/kubernetes).
  --ignore-server-cert, -isc {on,off,default}
                        Ignore server certificate errors (on/off/default). Supported for rdp
                        and kubernetes protocols.
  --security-mode, -sm {any,nla,tls,vmconnect,rdp,default}
                        RDP Security Mode (any/nla/tls/vmconnect/rdp, or default to unset).
                        Supported for rdp protocol only.
  --rotate-on-termination {on,off}
                        Rotate launch credentials when the PAM session ends (DAG resource meta)
  --silent, -s          Silent mode - don't print PAM User, PAM Config etc.

使用例

1. My Vault> pam connection edit "/Share Folder Name/Record Name" -c ocYDOuzwt3n0iYXuYk0lHw 
-a "/Share Folder Name/Record Name" -p=rdp -cn=on -cr=on -cop=3389

2. My Vault> pam connection edit "/{{ Email }}/{{ Email }} SSH" -c ocYDOuzwt3n0iYXuYk0lHw 
-a "/Share Folder Name/Record Name" -p=ssh -cn=on -cr=on -cop=22 -s

3. My Vault> pam connection edit "/{{ Email }}/{{ Email }} MSSQL" -c ocYDOuzwt3n0iYXuYk0lHw 
-a "/Share Folder Name/Record Name" -p=sql-server -cn=on -tr=on -cop=1433

例1: RDP接続を作成し、管理用の認証情報およびPAM構成を割り当てます。接続を有効化し、画面録画を有効にします。

例2: SSH接続を作成し、管理用の認証情報およびPAM構成を割り当てます。接続を有効化し、画面録画を有効にしたうえで、出力を表示しないサイレントモードで実行します。

例3: MSSQL接続を作成し、管理用の認証情報およびPAM構成を割り当てます。接続を有効化し、typescript形式の録画を有効にします。

ai

usage: pam [-h] [--configuration CONFIGURATION] [--enabled {on,off,default}]
           [--session-terminate {on,off,default}] [--set LEVEL.SETTING=VALUE]
           [--unset LEVEL[.SETTING[=VALUE]]] [--remove] [--show]
           record

positional arguments:
  record                Record UID, path, or title (pamMachine, pamDatabase,
                        pamDirectory, or pamRemoteBrowser)

options:
  -h, --help            show this help message and exit
  --configuration, -c CONFIGURATION
                        PAM Configuration UID or title (required when record is not        
                        linked yet or is linked to 2+ configs)
  --enabled, -e {on,off,default}
                        Enable/disable KeeperAI threat detection (on/off/default; default  
                        removes from DAG JSON)
  --session-terminate, -st {on,off,default}
                        Enable/disable session termination on detection (on/off/default;
                        default removes from DAG JSON)
  --set, -s LEVEL.SETTING=VALUE
                        Set a KeeperAI value (e.g. -s low.terminate=false -s
                        low.allow=chmod -s "high.deny=kill -9")
  --unset, -u LEVEL[.SETTING[=VALUE]]
                        Unset KeeperAI values (e.g. -u low removes the level; -u
                        low.allow removes all allow tags; -u low.allow=chmod removes one
                        tag)
  --remove              Remove all KeeperAI settings (ai_settings path only)
  --show                Show current KeeperAI settings

使用例

1. My Vault> pam connection ai ocYDOuzwt3n0iYXuYk0lHw  --show

2. My Vault> pam connection ai ocYDOuzwt3n0iYXuYk0lHw --remove

3. My Vault> pam connection ai ocYDOuzwt3n0iYXuYk0lHw -e on -s=high.terminate=true -s=high.allow=chmod -s="critical.deny=kill -9"

例1: レコードの現在のAI設定を表示します。

例2: レコードのすべてのAI設定を削除します。

例3: AIセッション終了を有効にし、高リスクとCriticalの2件のターゲットルール (Terminate/Deny) を追加します。

jit

usage: pam [-h] [--configuration CONFIGURATION] [--create-ephemeral BOOL] [--elevate BOOL]
           [--elevation-method {group,role}] [--elevation-string ELEVATION_STRING]
           [--base-distinguished-name BASE_DISTINGUISHED_NAME]
           [--ephemeral-account-type {linux,mac,windows,domain}]
           [--pam-directory-record PAM_DIRECTORY_RECORD] [--remove] [--show]
           record

positional arguments:
  record                Record UID, path, or title (pamMachine, pamDatabase, or pamDirectory)

options:
  -h, --help            show this help message and exit
  --configuration, -c CONFIGURATION
                        PAM Configuration UID or title (required when record is linked to 2+ configs)   
  --create-ephemeral BOOL
                        Create ephemeral account (true/false)
  --elevate BOOL        Elevate account (true/false)
  --elevation-method {group,role}
                        Elevation method (group or role)
  --elevation-string ELEVATION_STRING
                        Elevation string
  --base-distinguished-name BASE_DISTINGUISHED_NAME
                        Base distinguished name
  --ephemeral-account-type {linux,mac,windows,domain}
                        Ephemeral account type
  --pam-directory-record PAM_DIRECTORY_RECORD
                        pamDirectory record UID/path/title (required when ephemeral-account-
                        type=domain)
  --remove              Remove all JIT settings (jit_settings path only)
  --show                Show current JIT settings

使用例

1. My Vault> pam connection jit ocYDOuzwt3n0iYXuYk0lHw  --show

2. My Vault> pam connection jit ocYDOuzwt3n0iYXuYk0lHw --remove

3. My Vault> pam connection jit ocYDOuzwt3n0iYXuYk0lHw \
--create-ephemeral true \
--elevate true \
--elevation-method group \
--elevation-string "arn:aws:iam::12345:role/Admin" \
--ephemeral-account-type linux

例1: レコードの現在のJIT設定を表示します。

例2: レコードのすべてのJIT設定を削除します。

例3: レコードにJIT設定を構成します。

---

サブコマンド: rbi

このコマンドを使用すると、レコードのリモートブラウザ分離設定を編集できます。

edit

usage: pam rbi edit [-h] --record RECORD [--configuration CONFIG] [--remote-browser-isolation {on,off,default}] [--connections-recording {on,off,default}] [--key-events {on,off,default}] [--allow-url-navigation {on,off,default}]
                    [--ignore-server-cert {on,off,default}] [--allowed-urls ALLOWED_URLS] [--allowed-resource-urls ALLOWED_RESOURCE_URLS] [--autofill-credentials AUTOFILL] [--autofill-targets AUTOFILL_TARGETS]
                    [--allow-copy {on,off,default}] [--allow-paste {on,off,default}] [--disable-audio {on,off,default}] [--audio-channels AUDIO_CHANNELS] [--audio-bit-depth {8,16}] [--audio-sample-rate AUDIO_SAMPLE_RATE] [--silent]

options:
  -h, --help            show this help message and exit
  --record, -r RECORD   The record UID or path of the RBI record.
  --configuration, -c CONFIG
                        The PAM Configuration UID or path to use for connections. Use command `pam config list` to view available PAM Configurations.
  --remote-browser-isolation, -rbi {on,off,default}
                        Set RBI permissions
  --connections-recording, -cr {on,off,default}
                        Set recording connections permissions for the resource
  --key-events, -k {on,off,default}
                        Toggle Key Events settings
  --allow-url-navigation, -nav {on,off,default}
                        Allow navigation via direct URL manipulation (on/off/default)
  --ignore-server-cert, -isc {on,off,default}
                        Ignore server certificate errors (on/off/default)
  --allowed-urls, -au ALLOWED_URLS
                        Allowed URL patterns (can specify multiple times)
  --allowed-resource-urls, -aru ALLOWED_RESOURCE_URLS
                        Allowed resource URL patterns (can specify multiple times)
  --autofill-credentials, -a AUTOFILL
                        The record UID or path of the RBI Autofill Credentials record.
  --autofill-targets, -at AUTOFILL_TARGETS
                        Autofill target selectors (can specify multiple times)
  --allow-copy, -cpy {on,off,default}
                        Allow copying to clipboard (on/off/default)
  --allow-paste, -p {on,off,default}
                        Allow pasting from clipboard (on/off/default)
  --disable-audio, -da {on,off,default}
                        Disable audio for RBI sessions (on/off/default)
  --audio-channels, -ac AUDIO_CHANNELS
                        Number of audio channels (e.g., 1 for mono, 2 for stereo)
  --audio-bit-depth, -bd {8,16}
                        Audio bit depth (8 or 16)
  --audio-sample-rate, -sr AUDIO_SAMPLE_RATE
                        Audio sample rate in Hz (e.g., 44100, 48000)
--session-persistence, -sp (none,user,resource)
                        RBI session persistence (none/user/resource)
  --silent, -s          Silent mode - don't print PAM User, PAM Config etc.

---

サブコマンド: rotation

詳細: レコードのKeeperローテーションの設定を表示および作成します。

My Vault> pam rotation help
pam command [--options]

Command    Description
---------  -----------------------------------
edit       Edits Record Rotation configuration
list       List Record Rotation configuration
info       Get Rotation Info
script     Add, delete, or edit script field

edit

My Vault> pam rotation edit --help
usage: pam rotation edit [-h] (--record RECORD_NAME | --folder FOLDER_NAME) [--force] [--config CONFIG]
                         [--iam-aad-config IAM_AAD_CONFIG_UID] [--resource RESOURCE] [--schedulejson SCHEDULE_JSON_DATA |
                         --schedulecron SCHEDULE_CRON_DATA | --on-demand | --schedule-config] [--complexity PWD_COMPLEXITY]
                         [--admin-user ADMIN] [--enable | --disable]

options:
  -h, --help            show this help message and exit
  --record, -r RECORD_NAME
                        Record UID, name, or pattern to be rotated manually or via schedule
  --folder, -fd FOLDER_NAME
                        Used for bulk rotation setup. The folder UID or name that holds records to be configured
  --force, -f           Do not ask for confirmation
  --config, -c CONFIG   UID or path of the configuration record.
  --iam-aad-config, -iac IAM_AAD_CONFIG_UID
                        UID of a PAM Configuration. Used for an IAM or Azure AD user in place of --resource.
  --resource, -rs RESOURCE
                        UID or path of the resource record.
  --schedulejson, -sj SCHEDULE_JSON_DATA
                        JSON of the scheduler. Example: -sj '{"type": "WEEKLY", "utcTime": "15:44", "weekday": "SUNDAY",
                        "intervalCount": 1}'
  --schedulecron, -sc SCHEDULE_CRON_DATA
                        Cron tab string of the scheduler. Example: to run job daily at 5:56PM UTC enter following cron -sc "56 17
                        * * *"
  --on-demand, -od      Schedule On Demand
  --schedule-config, -sf
                        Schedule from Configuration
  --schedule-only, -so  Only update the rotation schedule without changing other settings 
  --complexity, -x PWD_COMPLEXITY
                        Password complexity: length, upper, lower, digits, symbols. Ex. 32,5,5,5,5[,SPECIAL CHARS]
  --admin-user, -a ADMIN
                        UID or path for the PAMUser record to configure the admin credential on the PAM Resource as the Admin when
                        rotating
  --enable, -e          Enable rotation
  --disable, -d         Disable rotation

JSONでローテーションスケジュールを設定する例

--schedulejson または -sj パラメータで、JSON によりスケジュールを設定します。

PAMユーザーレコードを、毎月1日の午前4時 (シカゴ時間) にローテーションする例です。

pam rotation edit -r XXXX -sj '{"type": "MONTHLY_BY_DAY", "monthDay": 1, "time": "04:00", "tz": "America/Chicago"}'

PAMユーザーレコードを、毎週土曜日の午後10時 (ニューヨーク時間) にローテーションする例です。

pam rotation edit -r XXXX -sj '{"type": "WEEKLY", "weekday": "SATURDAY", "time": "22:00", "tz": "America/New_York"}'

有効なスケジュールの種類は次のとおりです。

ON DEMAND

手動のオンデマンドでジョブが起動します。

pam rotation edit -r XXXX --on-demand

DAILY

ジョブが毎日起動します。

• type - DAILY
• time - ジョブを実行する時刻 (24時間表記)
• tz - 現地の IANAタイムゾーン (例: America/Chicago)
• intervalCount - 任意。起動の間隔となる日数。日をスキップするために指定します。

WEEKLY

ジョブが毎週起動します。

• type - WEEKLY
• weekday - 曜日名。必ずフル名で、すべて大文字にします。

  • SUNDAY
  • MONDAY
  • TUESDAY
  • WEDNESDAY
  • THURSDAY
  • FRIDAY
  • SATURDAY
• time - ジョブを実行する時刻 (24時間表記)
• tz - 現地の IANAタイムゾーン (例: America/Chicago)
• intervalCount - 任意。1 より大きい値にすると weekday は無視されます。日曜を起点に、その週に複数回、間隔の日数に応じてジョブが起動します。

MONTHLY_BY_DAY

ジョブが毎月、特定の「日」に起動します。

• type - MONTHLY_BY_DAY
• monthDay - 月の日 (1 からその月の最終日まで)。29 日はうるう年のみ有効な場合があります。
• time - ジョブを実行する時刻 (24時間表記)
• tz - 現地の IANAタイムゾーン (例: America/Chicago)
• intervalCount - 任意。1 より大きい値の場合、monthDay で一度起動したあと、指定した日数ごとに再トリガーされます。

MONTHLY_BY_WEEKDAY

ジョブが毎月、特定の曜日と時刻に起動します。

• type - MONTHLY_BY_WEEKDAY
• weekday - 曜日名。必ずフル名で、すべて大文字にします。

  • SUNDAY
  • MONDAY
  • TUESDAY
  • WEDNESDAY
  • THURSDAY
  • FRIDAY
  • SATURDAY
• occurrence - その月の第何週で起動するか。第5週の場合は LAST。

  • FIRST
  • SECOND
  • THIRD
  • FOURTH
  • LAST
• time - ジョブを実行する時刻 (24時間表記)
• tz - 現地の IANAタイムゾーン (例: America/Chicago)
• intervalCount - 任意。1 以外に設定すると、最初の weekday から始まり、その後は intervalCount 週ごとに起動します。

YEARLY

ジョブが毎年、指定した月・日・時刻に起動します。

• type - YEARLY
• month - 月名。必ずフル名で、すべて大文字にします。

  • JANUARY
  • FEBRUARY
  • MARCH
  • APRIL
  • MAY
  • JUNE
  • JULY
  • AUGUST
  • SEPTEMBER
  • OCTOBER
  • NOVEMBER
  • DECEMBER
• monthDay - 月の日 (1からその月の最終日まで)。29日はうるう年に該当する場合があります。
• time - ジョブを実行する時刻 (24時間表記)
• tz - 現地の IANAタイムゾーン (例: America/Chicago)
• intervalCount - 任意。1以外に設定すると、毎年ではなく intervalCount 年ごとに起動します。

パスワード複雑性の設定例 (PAMユーザー用)

--complexity または -x パラメータで、パスワードの複雑さを設定します。

以下のとおり20文字のパスワードを生成します (大文字1つ以上、小文字4つ以上、数字2つ、記号セット .=+- から記号2つ)。

pam rotation edit -r XXXX -x 20,1,4,2,2,.=+-

値はカンマ区切り (CSV 形式)で、次の要素をこの順で指定します。

1. パスワード全体の長さ
2. 大文字の最小数
3. 小文字の最小数
4. 数字の最小数
5. 記号の最小数
6. 記号セット。最後のカンマの後に使いたい記号を並べます。次の集合に含まれる記号のみ使用できます。空にすると、次のデフォルトの記号セットが使われます。

   !@#$%^?();',.=+[]<>{}-_/\\*&:"`~|

list

ローテーションが設定されているすべてのリソースの一覧を表示します。

My Vault> pam rotation list --help
usage: pam rotation list [-h] [--verbose]

optional arguments:
  -h, --help     show this help message and exit
  --verbose, -v  Verbose output

info

特定のリソースに対するローテーション設定の情報を表示します。

My Vault> pam rotation info --help 
usage: dr-router-get-rotation-info-parser [-h] --record-uid RECORD_UID

optional arguments:
  -h, --help            show this help message and exit
  --record-uid RECORD_UID, -r RECORD_UID
                        Record UID to rotate

script

ポストローテーションPAMスクリプトを管理します。

My Vault> pam rotation script --help
pam command [--options]

Command    Description
---------  ---------------------------------
list       List script fields
add        Add script to record (record owner only)
edit       Edit script field
delete     Delete script field

---

サブコマンド: action

詳細: PAMリソースの検出、認証情報のローテーション、サービスアカウントの管理に使います。

My Vault> pam action help
pam command [--options]

Command       Description
------------  ---------------------
gateway-info  Info command
discover      Discover command
rotate        Rotate command
job-info      View Job details
job-cancel    View Job details
service       Manage services and scheduled tasks
debug         PAM debug information

gateway-info

特定のKeeperゲートウェイの情報を表示します。

My Vault> pam action gateway-info --help
usage: dr-info-command [-h] [--gateway GATEWAY_UID] [--verbose]

optional arguments:
  -h, --help            show this help message and exit
  --gateway GATEWAY_UID, -g GATEWAY_UID
                        Gateway UID
  --verbose, -v         Verbose Output

discover

検出ジョブを管理します。

My Vault> pam action discover --help
pam command [--options]

Command    Description
---------  ----------------------------------
start      Start a discovery process
status     Status of discovery jobs
remove     Cancel or remove of discovery jobs
process    Process discovered items
rule       Manage discovery rules

discover start

検出ジョブを開始します。

My Vault> pam action discover start --help
usage: dr-discover-start-command [-h] --gateway GATEWAY [--resource RESOURCE_UID] [--lang LANGUAGE] [--include-machine-dir-users] [--inc-azure-aadds]
                                 [--skip-rules] [--skip-machines] [--skip-databases] [--skip-directories] [--skip-cloud-users] [--cred CREDENTIALS]
                                 [--cred-file CREDENTIAL_FILE]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name of UID.
  --resource RESOURCE_UID, -r RESOURCE_UID
                        UID of the resource record. Set to discover specific resource.
  --lang LANGUAGE       Language
  --include-machine-dir-users
                        Include directory users found on the machine.
  --inc-azure-aadds     Include Azure Active Directory Domain Service.
  --skip-rules          Skip running the rule engine.
  --skip-machines       Skip discovering machines.
  --skip-databases      Skip discovering databases.
  --skip-directories    Skip discovering directories.
  --skip-cloud-users    Skip discovering cloud users.
  --cred CREDENTIALS    List resource credentials.
  --cred-file CREDENTIAL_FILE
                        A JSON file containing list of credentials.

discover status

検出ジョブのステータスを表示します。

My Vault> pam action discover status --help
usage: dr-discover-status-command [-h] [--gateway GATEWAY] [--job-id JOB_ID] [--history]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Show only discovery jobs from a specific gateway.
  --job-id JOB_ID, -j JOB_ID
                        Detailed information for a specific discovery job.
  --history             Show history

discover remove

実行中の検出ジョブを停止します。

My Vault> pam action discover remove --help
usage: dr-discover-command-process [-h] --job-id JOB_ID

options:
  -h, --help            show this help message and exit
  --job-id JOB_ID, -j JOB_ID
                        Discovery job id.

discover process

検出ジョブの結果を処理します。

My Vault> pam action discover process --help
usage: dr-discover-command-process [-h] --job-id JOB_ID [--add-all] [--debug-gs-level DEBUG_LEVEL]

options:
  -h, --help            show this help message and exit
  --job-id JOB_ID, -j JOB_ID
                        Discovery job to process.
  --add-all             Respond with ADD for all prompts.
  --debug-gs-level DEBUG_LEVEL
                        GraphSync debug level. Default is 0

discover rule

検出ルールを管理します。

My Vault> pam action discover rule --help
pam command [--options]

Command    Description
---------  --------------
add        Add a rule
list       List all rules
remove     Remove a rule
update     Update a rule

discover rule add

検出ルールを追加します。

My Vault> pam action discover rule add --help
usage: pam-action-discover-rule-add [-h] --gateway GATEWAY --action {add,ignore,prompt} --priority PRIORITY [--ignore-case]
                                    [--shared-folder-uid SHARED_FOLDER_UID] --statement STATEMENT

options:
  -h, --help            show this help message and exit
  --gateway, -g GATEWAY
                        Gateway name of UID.
  --action, -a {add,ignore,prompt}
                        Action to take if rule matches
  --priority, -p PRIORITY
                        Rule execute priority
  --ignore-case         Ignore value case. Rule value must be in lowercase.
  --shared-folder-uid SHARED_FOLDER_UID
                        Folder to place record.
  --statement, -s STATEMENT
                        Rule statement

rotate

特定のリソース、リソースのフォルダ、リソースタイトル内のパターンに対して、認証情報のローテーションを実行します。構成済みのメールプロバイダを使って、ワンタイム共有リンクをメールで送信することもできます。

My Vault> pam action rotate --help
usage: pam action rotate [-h] [--record-uid RECORD_UID] [--folder FOLDER] [--dry-run]

options:
  -h, --help            show this help message and exit
  --record-uid, -r RECORD_UID
                        Record UID to rotate
  --folder, -f FOLDER   Shared folder UID or title pattern to rotate
  --dry-run, -n         Enable dry-run mode
  --email-config NAME   Email configuration to use for sending (required with --send-email)
  --send-email EMAIL    Email address to send one-time share link after successful rotation
  --email-message MESSAGE  Custom message to include in notification email

job-info

実行中のジョブの情報を表示します。

My Vault> pam action job-info --help
usage: pam-action-job-command [-h] [--gateway GATEWAY_UID] job_id

positional arguments:
  job_id

optional arguments:
  -h, --help            show this help message and exit
  --gateway GATEWAY_UID, -g GATEWAY_UID
                        Gateway UID. Needed only if there are more than one gateway running

job-cancel

実行中のジョブをキャンセルします。

My Vault> pam action job-cancel --help
usage: pam-action-job-command [-h] [--gateway GATEWAY_UID] job_id

positional arguments:
  job_id

optional arguments:
  -h, --help            show this help message and exit
  --gateway GATEWAY_UID, -g GATEWAY_UID
                        Gateway UID. Needed only if there are more than one gateway running

service list

特定のKeeperゲートウェイのマシン上で、サービス、スケジュールタスク、IISプールを制御するユーザーを表示します。

既定ではユーザー単位で表示されます。--by-machine パラメータを指定すると、マシン単位で表示されます。

My Vault> pam action service list -h
usage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] [--by-machine]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name or UID
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --by-machine, -m      List by machine

service add

サービスを特定のKeeperゲートウェイおよびPAMマシンに関連付けます。関連付けられると、Keeperはそのサービスの認証情報を指定されたPAMマシン上で更新し、サービスが実行中であれば再起動します。

My Vault> pam action service add -h
usage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] 
           --machine-uid MACHINE_UID --user-uid USER_UID

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name or UID
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --machine-uid MACHINE_UID, -m MACHINE_UID
                        The UID of the Windows Machine record
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record

service remove

特定のPAMマシン上のサービスに対する関連付けを削除します。

My Vault> pam action service remove -h
uusage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] 
            --machine-uid MACHINE_UID --user-uid USER_UID

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name or UID
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --machine-uid MACHINE_UID, -m MACHINE_UID
                        The UID of the Windows Machine record
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record

service disable

ユーザーまたはマシンをサービスのパスワードローテーション対象から除外します。--machine-uid または --user-uid のいずれかが必須です。

マシンを除外すると、サービス、スケジュールタスク、IISプールのローテーションが一切行われなくなります。

ユーザーを除外すると、そのユーザーアカウントをローテーションする際に、サービス、スケジュールタスク、IISプールのパスワードはローテーションされません。

My Vault> pam action service disable --help
usage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] 
           [--machine-uid MACHINE_UID] [--user-uid USER_UID]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name or UID
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --machine-uid MACHINE_UID, -m MACHINE_UID
                        The UID of the Windows Machine record to disable.
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record to disable.

service enable

ユーザーまたはマシンをサービスのパスワードローテーション対象に含めます。--machine-uid または --user-uid のいずれかが必須です。

マシンを対象に含めると、サービス、スケジュールタスク、IISプールのローテーションが許可されます。

ユーザーを対象に含めると、そのユーザーアカウントをローテーションする際に、サービス、スケジュールタスク、IISプールのパスワードもローテーションされます。

My Vault> pam action service enable --help
usage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] 
           [--machine-uid MACHINE_UID] [--user-uid USER_UID]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name or UID
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --machine-uid MACHINE_UID, -m MACHINE_UID
                        The UID of the Windows Machine record to disable.
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record to disable.

service map

検出時に見つかったサービス、スケジュールタスク、IISプールにユーザーを関連付けます。これにより、検出後に手動で追加されたユーザーをサービスに関連付けられます。

My Vault> pam action service map --help
usage: pam [-h] --gateway GATEWAY [--configuration-uid CONFIGURATION_UID] [--by-machine]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name of UID.
  --configuration-uid CONFIGURATION_UID, -c CONFIGURATION_UID
                        PAM configuration UID, if gateway has multiple.
  --by-machine, -m      List by machine

saas user

特定のPAMユーザーのSaaSローテーションを表示します。

My Vault>  pam action saas user --help
usage: pam action saas user [-h] --user-record-uid USER_UID

options:
  -h, --help            show this help message and exit
  --user-record-uid USER_UID, -u USER_UID
                        The UID of the User record

saas add

PAMユーザーにSaaSローテーションを追加します。

My Vault>  pam action saas add --help
usage: pam action saas add [-h] --user-uid USER_UID --config-record-uid CONFIG_RECORD_UID 
                           [--resource-uid RESOURCE_UID]

options:
  -h, --help            show this help message and exit
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record
  --config-record-uid CONFIG_RECORD_UID, -c CONFIG_RECORD_UID
                        The UID of the record that has SaaS configuration
  --resource-uid RESOURCE_UID, -r RESOURCE_UID
                        The UID of the Resource record, if needed.

--resource-uid は省略可能なパラメータです。ユーザーがPAMマシン、データベース、ディレクトリなどのリソース上に存在する場合にのみ設定します。

saas remove

PAMユーザーにSaaSローテーションを追加します。

My Vault>  pam action saas remove --help
usage: pam action saas remove [-h] --user-uid USER_UID --config-record-uid CONFIG_RECORD_UID 
                              [--resource-uid RESOURCE_UID]

options:
  -h, --help            show this help message and exit
  --user-uid USER_UID, -u USER_UID
                        The UID of the User record
  --config-record-uid CONFIG_RECORD_UID, -c CONFIG_RECORD_UID
                        The UID of the record that has SaaS configuration
  --resource-uid RESOURCE_UID, -r RESOURCE_UID
                        The UID of the Resource record, if needed.

--resource-uid は省略可能なパラメータです。ユーザーがPAMマシン、データベース、ディレクトリなどのリソース上に存在する場合にのみ設定します。

saas config

SaaS構成レコードを作成・管理します。

My Vault>  pam action saas config --help
usage: pam action saas install [-h] --gateway GATEWAY [--list] [--plugin PLUGIN] 
                               [--info] [--create] [--update] [--shared-folder-uid SHARED_FOLDER_UID]

options:
  -h, --help            show this help message and exit
  --gateway GATEWAY, -g GATEWAY
                        Gateway name of UID.
  --list, -l            List available SaaS rotations.
  --plugin PLUGIN, -p PLUGIN
                        Plugin name
  --info                Get information about a plugin or plugins being used.
  --create, -c          Create a SaaS Plugin config record.
  --update, -u          Update scripts on configuration records.
  --shared-folder-uid SHARED_FOLDER_UID, -s SHARED_FOLDER_UID
                        Shared folder to store SaaS configuration.

このコマンドには複数の機能があります。

• --list → ご利用のゲートウェイで使用可能なSaaSローテーションを一覧表示します。
• --info → 特定のプラグインに関する情報を表示します。--plugin パラメータが必要です。
• --create → SaaS構成レコードを作成します。ウィザードがフィールド値の入力を順に案内します。
• --update → SaaS構成を更新します。

---

サブコマンド: tunnel

詳細: ローカルマシンから対象インフラへのKeeperトンネルの表示および作成を行います。

My Vault> pam tunnel help
pam command [--options]

Command    Description
---------  -------------------------
start      Start Tunnel
list       List all Tunnels
stop       Stop Tunnel to the server
tail       View Tunnel Log
edit       Edit Tunnel settings

start

ローカルデバイスから対象のリソースへのトンネルを開始します。

My Vault> pam tunnel start -h
usage: pam tunnel start [-h] [--host HOST] [--port PORT] uid

positional arguments:
  uid                   The Record UID of the PAM resource record with network information to use for tunneling

options:
  -h, --help            show this help message and exit
  --host HOST, -o HOST  The address on which the server will be accepting connections. It could be an IP address or a
                        hostname. Ex. set to 127.0.0.1 as default so only connections from the same machine will be accepted.
  --port PORT, -p PORT  The port number on which the server will be listening for incoming connections. If not set, random
                        open port on the machine will be used.

list

すべての実行中のトンネルの一覧を表示します。

My Vault> pam tunnel list -h
usage: pam tunnel list [-h]

options:
  -h, --help  show this help message and exit

stop

現在実行中のトンネルを停止します。

My Vault> pam tunnel stop -h
usage: pam tunnel stop [-h] uid

positional arguments:
  uid         The Tunnel UID or Record UID

options:
  -h, --help  show this help message and exit

tail

Keeperトンネル内の情報を表示します。

My Vault> pam tunnel tail -h
usage: pam tunnel tail [-h] uid

positional arguments:
  uid         The Tunnel UID

options:
  -h, --help  show this help message and exit

edit

既存のトンネルの構成を編集します。

usage: pam tunnel edit [-h] [--configuration CONFIG] [--enable-tunneling] [--tunneling-override-port TUNNELING_OVERRIDE_PORT] [--disable-tunneling] [--remove-tunneling-override-port] [--keeper-db-proxy {on,off,default}] record

positional arguments:
  record                The record path or UID of the PAM resource record with network information to use for tunneling

options:
  -h, --help            show this help message and exit
  --configuration, -c CONFIG
                        The PAM Configuration UID or path to use for tunneling. Use command `pam config list` to view available PAM Configurations.
  --enable-tunneling, -et
                        Enable tunneling on the record
  --tunneling-override-port, -top TUNNELING_OVERRIDE_PORT
                        Port to use for tunneling. If not provided, the port from the record will be used.
  --disable-tunneling, -dt
                        Disable tunneling on the record
  --remove-tunneling-override-port, -rtop
                        Remove tunneling override port
  --keeper-db-proxy, -kdbp {on,off,default}
                        Enable/disable Keeper Database Proxy for pamDatabase records (on/off/default)

---

サブコマンド: split

詳細: レガシーPAMレコードを新しいKeeperPAM形式に分割します。

My Vault> pam split -h
usage: pam split [-h] [--configuration PAM_CONFIG] [--folder PAM_USER_FOLDER] pam_machine_record

positional arguments:
  pam_machine_record    The record UID or title of the legacy PAM Machine record with built-in PAM User credentials.

options:
  -h, --help            show this help message and exit
  --configuration PAM_CONFIG, -c PAM_CONFIG
                        The PAM Configuration Name or UID - If the legacy record was configured for rotation this command
                        will try to autodetect PAM Configuration settings otherwise you'll be prompted to provide the PAM
                        Config.
  --folder PAM_USER_FOLDER, -f PAM_USER_FOLDER
                        The folder where to store the new PAM User record - folder names/paths are case sensitive!(if skipped
                        - PAM User will be created into the same folder as PAM Machine)

---

サブコマンド: project

詳細: KeeperPAMプロジェクトを作成します (ボルトのUIにあるクイックスタートサンドボックスに類似)。

PAMインポートコマンドは、数千の管理対象企業を持つMSPなどの顧客が、フォルダ、ゲートウェイ、マシン、ユーザー、接続、トンネル、(オプションで) ローテーションの作成を自動化するのに役立ちます。

My Vault> pam project import -h
usage: pam project import [-h] [--name PROJECT_NAME] [--filename FILE_NAME] [--dry-run] [--sample-data] [--show-template]
                          [--output {token,base64,json}]

options:
  -h, --help            show this help message and exit
  --name PROJECT_NAME, -n PROJECT_NAME
                        Project name.
  --filename FILE_NAME, -f FILE_NAME
                        File to load import data from.
  --dry-run, -d         Test import without modifying vault.
  --sample-data, -s     Generate sample data.
  --show-template, -t   Print JSON template required for manual import.
  --output {token,base64,json}, -o {token,base64,json}
                        Output format (token: one-time token, config: base64/json)

pam project import --name=project1 --filename=/path/to/import.json --dry-run

• --name, -n → プロジェクト名 (JSON内の "project":"" を上書きします)
• --filename, -f → インポートデータを読み込むJSONファイル
• --dry-run, -d → ボルトを変更せずにインポートをテストします。

コマンドのバリエーション: 「extend」

pam project extend コマンドは、初回インポートのあとに追加レコードを作成するとき、既存のPAMゲートウェイとPAM構成をそのまま使います。

My Vault> pam project extend -h
usage: pam project extend [-h] [--config PAM_CONFIG] [--filename FILE_NAME] [--dry-run]

options:
  -h, --help            show this help message and exit
  --config PAM_CONFIG, -c PAM_CONFIG
                        PAM Configuration record UID or title.
  --filename FILE_NAME, -f FILE_NAME
                        File to load import data from.
  --dry-run, -d         Test import without modifying vault.

JSONインポート/拡張に関するドキュメント

• サーバーホスト名の一覧からWindowsサーバーをPAMリソースとしてインポートする手順については、PAMリソースのインポートのページをご参照ください。
• pam project import 用テンプレートの詳細な仕様については、こちらのGitHubのREADMEをご確認ください。
• ご不明な点がございましたら、コマンダーチーム ([e-mail]) までご連絡ください。

---

サブコマンド: Launch

詳細: CLI上でKeeperPAMの特権セッションを開始します。接続先へは、普段お使いの端末・ターミナルから接続できます。pam launch を使ったセッションは、リソースおよびポリシーに応じた設定に従い、アクティビティの記録・監視の対象となります。

コマンダーCLIから接続を開始するには、以下のコマンドを実行します。

My Vault> pam launch <UID>

Launching connection to SSH to Linux Gateway Host (i-028348b3257e8c550)...
⠧ [ Establishing secure session… ]

   ,     #_
   ~\_  ####_        Amazon Linux 2023
  ~~  \_#####\
  ~~     \###|
  ~~       \#/ ___   https://aws.amazon.com/linux/amazon-linux-2023
   ~~       V~' '->
    ~~~         /
      ~~._.   _/
         _/ _/
       _/m/'
Last login: Wed May  6 02:10:58 2026 from 192.168.1.11
[ec2-user@ip-10-0-0-137 ~]$ 

ターミナルから、コマンダーCLIを介さずに直接セッションを開始することもできます。

$ keeper pam launch <UID>

構文:

My Vault> pam launch -h                                                                                                                                   
usage: pam [-h] [--no-trickle-ice] [--credential LAUNCH_CREDENTIAL] [--host CUSTOM_HOST] [--host-record HOST_RECORD] [--stdin] [--normalize-crlf]
           [--scale SCALE]
           record

Launch a connection to a PAM resource

positional arguments:
  record                Record path or UID of the PAM resource to launch

options:
  -h, --help            show this help message and exit
  --no-trickle-ice, -nti
                        Disable trickle ICE for WebRTC connections. By default, trickle ICE is enabled for real-time candidate exchange.
  --credential LAUNCH_CREDENTIAL, -cr LAUNCH_CREDENTIAL
                        Record (UID, path, or title) for launch credentials
  --host CUSTOM_HOST, -H CUSTOM_HOST
                        Host and port in format host:port (e.g. -H=192.168.1.1:22 or -H=[::1]:22 for IPv6). Requires allowSupplyHost. Mutually exclusive
                        with --host-record.
  --host-record HOST_RECORD, -hr HOST_RECORD
                        Record (UID, path, or title) with a host or pamHostname field containing hostName and port. Requires allowSupplyHost. Mutually
                        exclusive with --host.
  --stdin               Send typed input via stdin pipe bytes (pipe/blob/end, kcm-cli style) instead of the default Guacamole key-event mode. Paste and
                        Ctrl+C double-tap behave the same in both modes.
  --normalize-crlf, -n  Normalize decoded Guacamole STDOUT: CRLF to LF and downstream LF cleanup. Use when you see double new lines from the remote. By
                        default we keep raw CR/LF on STDOUT (lower overhead). Alternatively, tune sending double newlines to the remote with environment
                        variable PAM_LAUNCH_CRLF_MERGE_DELAY_MS: [50..500] ms which controls local Enter coalescing (split CRLF across reads).
  --scale SCALE, -s SCALE
                        Scale pixel width/height by this percentage (e.g. 50 = half canvas, 200 = double). Range: [40-400]. Helps when fullscreen TUI
                        programs show garbled layout.

---

サブコマンド: workflow

詳細: PAMリソース向けのジャストインタイム (JIT) 特権アクセスのワークフローを管理します。承認に基づくアクセス制御に加え、チェックイン/チェックアウト、MFA、時間で区切られたアクセス期間などをオプションで適用できます。

構成用のコマンド (create、update、delete、add-approver、remove-approver) を利用するには、ロールでワークフロー設定を管理できるエンフォースメントが有効になっている必要があります。このエンフォースメントがないユーザーには、申請者・承認者向けのコマンドのみが表示されます。

レコードの所有者および承認者 (直接またはチーム経由でワークフローの承認者リストに含まれているユーザー) は、そのレコードのワークフロー要件の対象外となり、リソースに直接アクセスできます。

My Vault> pam workflow help
pam command [--options]

Command          Description
---------------  ---------------------------------
create           Create workflow configuration
read             Read workflow configuration
update           Update workflow configuration
delete           Delete workflow configuration
add-approver     Add approvers
remove-approver  Remove approvers
pending          Get pending approvals
approve          Approve access request
deny             Deny access request
request          Request, escalate, or cancel access
start            Start workflow (check-out)
end              End workflow (check-in)
state            Get workflow state
my-access        Get my access state

ワークフロー配下のコマンド分類

• 構成

  • create
  • read
  • update
  • delete
  • add-approver
  • remove-approver
• 承認者向け

  • pending
  • approve
  • deny
• 申請者向け

  • request
  • start
  • end
• 状態の確認

  • state
  • my-access

---

create

PAMレコードに対するワークフロー設定を新規作成します。承認が必要な場合は、承認者を1名以上追加する必要があります。

My Vault> pam workflow create -h
usage: pam workflow create [-h] [-u APPROVER] [-n APPROVALS_NEEDED] [-co] [-sa] [-rr] [-rt]
                           [-rm] [-d DURATION] [--allowed-days ALLOWED_DAYS]
                           [--time-range TIME_RANGE]
                           [--format {table,json}]
                           record

positional arguments:
  record                Record UID or name to configure workflow for

options:
  -h, --help            show this help message and exit
  -u APPROVER, --approver APPROVER
                        User email to add as approver (repeat for multiple).
                        Required when --approvals-needed > 0.
  -n APPROVALS_NEEDED, --approvals-needed APPROVALS_NEEDED
                        Number of approvals required (default: 1)
  -co, --checkout       Enable single-user check-in/check-out mode
  -sa, --start-on-approval
                        Start access timer when approved (vs when checked out)
  -rr, --require-reason
                        Require user to provide reason for access
  -rt, --require-ticket
                        Require user to provide ticket number
  -rm, --require-mfa    Require MFA verification for access
  -d DURATION, --duration DURATION
                        Access duration (e.g., "2h", "30m", "1d"). Default: 1d
  --allowed-days ALLOWED_DAYS
                        Comma-separated allowed days (e.g., "mon,tue,wed,thu,fri")
  --time-range TIME_RANGE
                        Allowed time range in HH:MM-HH:MM format (e.g., "09:00-17:00")
  --format {table,json}
                        Output format

例

承認を1段階とし、アクセス期間を1日とする、基本的なワークフローを作成する例です。

My Vault> pam workflow create "Linux Server Prod" -u [e-mail]

チェックイン/チェックアウト、MFA、理由の入力を必須とするワークフローを作成する例です。

My Vault> pam workflow create aB1cD2eF3gH4 -u [e-mail] -n 2 -co -rm -rr -d 2h

平日の営業時間内にのみアクセスを許可するワークフローを作成する例です。

My Vault> pam workflow create aB1cD2eF3gH4 -u [e-mail] --allowed-days mon,tue,wed,thu,fri --time-range 09:00-17:00

許可日と時間帯は、管理者のローカルIANAタイムゾーン (コマンド実行時に自動検出) で保存されます。アクセス制御は、申請者の所在地に関係なく、このタイムゾーンに基づいて適用されます。実行時に上書きするには、TZ 環境変数を使用します (例: TZ=America/New_York pam workflow create ...)。

---

read

レコードの現在のワークフロー構成 (パラメータ、承認者、時間帯フィルターなど) を表示します。

My Vault> pam workflow read -h
usage: pam workflow read [-h] [--format {table,json}] record

positional arguments:
  record                Record UID or name

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow read "Linux Server Prod"

Workflow Configuration
Record: Linux Server Prod 
Record UID: (aB1cD2eF3gH4)

Access Parameters:
  Approvals needed: 2
  Check-in/out required: No
  Access duration: 1 day
  Timer starts: On check-out

Requirements:
  Reason required: No
  Ticket required: No
  MFA required: No

Approvers (2):
  1. User: [e-mail]
  2. Team: security-team  (RpL1PYhMEh)

---

update

既存のワークフロー構成を更新します。指定したオプションだけが変更され、指定しなかった項目はこれまでどおり維持されます。

My Vault> pam workflow update -h
usage: pam workflow update [-h] [-n APPROVALS_NEEDED] [-co CHECKOUT]
                           [-sa START_ON_APPROVAL] [-rr REQUIRE_REASON]
                           [-rt REQUIRE_TICKET] [-rm REQUIRE_MFA]
                           [-d DURATION] [--allowed-days ALLOWED_DAYS]
                           [--time-range TIME_RANGE]
                           [--format {table,json}]
                           record

positional arguments:
  record                Record UID or name with workflow to update

options:
  -h, --help            show this help message and exit
  -n APPROVALS_NEEDED, --approvals-needed APPROVALS_NEEDED
                        Number of approvals required
  -co CHECKOUT, --checkout CHECKOUT
                        Enable/disable check-in/check-out (true/false)
  -sa START_ON_APPROVAL, --start-on-approval START_ON_APPROVAL
                        Start timer on approval vs check-out (true/false)
  -rr REQUIRE_REASON, --require-reason REQUIRE_REASON
                        Require reason (true/false)
  -rt REQUIRE_TICKET, --require-ticket REQUIRE_TICKET
                        Require ticket (true/false)
  -rm REQUIRE_MFA, --require-mfa REQUIRE_MFA
                        Require MFA (true/false)
  -d DURATION, --duration DURATION
                        Access duration (e.g., "2h", "30m", "1d")
  --allowed-days ALLOWED_DAYS
                        Comma-separated allowed days (e.g., "mon,tue,wed,thu,fri")
  --time-range TIME_RANGE
                        Allowed time range in HH:MM-HH:MM format (e.g., "09:00-17:00")
  --format {table,json}
                        Output format

例

MFAを必須にし、アクセス可能時間を4時間に変更する例です。

My Vault> pam workflow update aB1cD2eF3gH4 -rm true -d 4h

---

delete

レコードからワークフロー構成を削除します。リソースに対するワークフロー要件がすべてなくなります。

My Vault> pam workflow delete -h
usage: pam workflow delete [-h] [--format {table,json}] record

positional arguments:
  record                Record UID or name to remove workflow from

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

---

add-approver

ユーザーまたはチームを承認者として追加します。エスカレーション用の承認者や、通知までの待ち時間の指定にも対応します。レコードに閲覧のみ以上の権限を持つユーザーは、承認者として追加できます。エンタープライズ管理者は、自身がメンバーでなくとも、企業内の任意のチームを承認者として追加できます。

My Vault> pam workflow add-approver -h
usage: pam workflow add-approver [-h] [-u USER] [-t TEAM] [-e]
                                 [-ea ESCALATION_AFTER] [--format {table,json}]
                                 record

positional arguments:
  record                Record UID or name

options:
  -h, --help            show this help message and exit
  -u USER, --user USER  User email to add as approver (can specify multiple times)
  -t TEAM, --team TEAM  Team name or UID to add as approver (can specify multiple times)
  -e, --escalation      Mark as escalation approver
  -ea ESCALATION_AFTER, --escalation-after ESCALATION_AFTER
                        Time before escalating to this approver (e.g., "30m", "1h", "2h").
                        Only meaningful with --escalation
  --format {table,json}
                        Output format

例

ユーザーとチームを承認者として追加します。

My Vault> pam workflow add-approver aB1cD2eF3gH4 -u [e-mail] -t "Security Team"

1時間経過後にエスカレーション先として通知される承認者を追加する例です。

My Vault> pam workflow add-approver aB1cD2eF3gH4 -u [e-mail] -e -ea 1h

---

remove-approver

ワークフローの承認者リストからユーザーまたはチームを削除します。

My Vault> pam workflow remove-approver -h
usage: pam workflow remove-approver [-h] [-u USER] [-t TEAM]
                                    [--format {table,json}]
                                    record

positional arguments:
  record                Record UID or name

options:
  -h, --help            show this help message and exit
  -u USER, --user USER  User email to remove as approver
  -t TEAM, --team TEAM  Team name or UID to remove as approver
  --format {table,json}
                        Output format

例

My Vault> pam workflow remove-approver aB1cD2eF3gH4 -u [e-mail]

---

pending

現在のユーザー宛ての、承認待ちワークフロー申請を一覧表示します。複数の経路で承認者になっている場合に出る重複は、自動的にまとめられます。

My Vault> pam workflow pending -h
usage: pam workflow pending [-h] [--format {table,json}]

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow pending

Pending Approval Requests

  Flow UID        Requester          Resource              Reason     Ticket   Escalated
  --------------  -----------------  --------------------  ---------  -------  ---------
  xY9zA8bC7dE6   [e-mail]   Linux Server Prod     Deploying  INC-123  No

---

approve

pending で確認したフロー UIDを指定し、承認待ちのワークフロー申請を承認します。

My Vault> pam workflow approve -h
usage: pam workflow approve [-h] [--format {table,json}] flow_uid

positional arguments:
  flow_uid              Flow UID of the workflow to approve

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow approve xY9zA8bC7dE6

---

deny

承認待ちのワークフロー申請を却下します。理由は任意で、指定した場合は申請者の公開鍵で暗号化されます。

My Vault> pam workflow deny -h
usage: pam workflow deny [-h] [-r REASON] [--format {table,json}] flow_uid

positional arguments:
  flow_uid              Flow UID of the workflow to deny

options:
  -h, --help            show this help message and exit
  -r REASON, --reason REASON
                        Reason for denial
  --format {table,json}
                        Output format

例

My Vault> pam workflow deny xY9zA8bC7dE6 -r "Access not justified for this environment"

---

request

ワークフローで保護されているPAMリソースへのアクセスを申請します。承認待ちの申請のエスカレーションや、進行中の申請の取り消しにも対応します。

My Vault> pam workflow request -h
usage: pam workflow request [-h] [-r REASON] [-t TICKET] [-e] [-c]
                            [--format {table,json}]
                            record

positional arguments:
  record                Record UID or name

options:
  -h, --help            show this help message and exit
  -r REASON, --reason REASON
                        Reason for access request
  -t TICKET, --ticket TICKET
                        External ticket/reference number
  -e, --escalate        Escalate a pending request to escalation approvers
  -c, --cancel          Cancel a pending or active workflow request
  --format {table,json}
                        Output format

--cancel は、--escalate、--reason、--ticket と同時に指定できません。

例

理由とチケット番号を付けてアクセスを申請します。

My Vault> pam workflow request "Linux Server Prod" -r "Emergency deployment" -t "INC-456"

承認待ちの申請を、エスカレーション先の承認者へ回す例です。

My Vault> pam workflow request "Linux Server Prod" -e

承認待ちまたは進行中の申請を取り消す例です。

My Vault> pam workflow request "Linux Server Prod" -c

---

start

ワークフローのセッション (チェックアウト) を開始します。チェックイン/チェックアウトを有効にしているワークフローでは、リソースへ接続する前に実行が必要です。レコードのUIDまたは名前、あるいはフローUIDを指定できます。

My Vault> pam workflow start -h
usage: pam workflow start [-h] [--format {table,json}] uid

positional arguments:
  uid                   Record UID, record name, or Flow UID

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow start "Linux Server Prod"

---

end

ワークフローのセッションをチェックインして終了します。チェックインのあとに認証情報のローテーションが行われる場合があります。--force は、シングルユーザーのチェックアウトが有効なときに、承認者が別ユーザーの進行中セッションを強制的に終了 (チェックイン) させるために使います。

My Vault> pam workflow end -h
usage: pam workflow end [-h] [-f] [--format {table,json}] uid

positional arguments:
  uid                   Record UID, record name, or Flow UID

options:
  -h, --help            show this help message and exit
  -f, --force           Force check-in: approvers can terminate another user's
                        active session when single-user checkout is enabled.
  --format {table,json}
                        Output format

例

自身のワークフローセッションを終了します。

My Vault> pam workflow end "Linux Server Prod"

別ユーザーのセッションを強制的にチェックインさせる例です (承認者のみ)。

My Vault> pam workflow end aB1cD2eF3gH4 --force

---

state

レコードの現在のワークフロー状態を表示します。出力には、現在のStage、満たされていない Conditions、リソースをチェックアウトしているユーザー、すでに承認したユーザーの一覧が含まれます。

My Vault> pam workflow state -h
usage: pam workflow state [-h] [--format {table,json}] record

positional arguments:
  record                Record UID or name

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow state "Linux Server Prod"

Workflow State
Record: Linux Server Prod (aB1cD2eF3gH4)

  Stage: Started
  Conditions: Approval, Check-in
  Checked out by: [e-mail]
  Started: 2026-02-05 10:30:00
  Expires: 2026-02-05 12:30:00
  Approved by:
    - [e-mail] at 2026-02-05 10:28:00

フローUIDを指定して状態を確認する例です。

My Vault> pam workflow state -f xY9zA8bC7dE6

---

my-access

ログイン中のユーザーについて、すべてのリソースをまたいだアクティブなワークフローセッションを一覧表示します。

My Vault> pam workflow my-access -h
usage: pam workflow my-access [-h] [--format {table,json}]

options:
  -h, --help            show this help message and exit
  --format {table,json}
                        Output format

例

My Vault> pam workflow my-access

My Active Workflows

  Flow UID        Resource              Stage     Started              Expires
  --------------  --------------------  --------  -------------------  -------------------
  xY9zA8bC7dE6   Linux Server Prod     Started   2026-02-05 10:30:00  2026-02-05 12:30:00
  aB2cD3eF4gH5   Database Staging      Approved  2026-02-05 09:00:00  2026-02-05 17:00:00

---

シングルユーザーのチェックイン (返却) /チェックアウトモード

--checkout (-co) を付けてワークフローを作成すると、リソースはシングルユーザーのチェックイン/チェックアウトモードで動作します。同時にチェックアウトできるのは1人だけです。

動作の概要

• 申請が承認されたあと、ユーザーは pam tunnel や pam launch で接続する前に、pam workflow start により明示的にチェックアウトする必要があります。
• リソースがチェックアウトされているあいだは、他のユーザーはチェックアウトできません。
• 作業が終わったら pam workflow end でチェックインし、リソースを解放します (認証情報のローテーションが行われる場合があります)。
• セッションを終了させる必要があるときは、承認者が pam workflow end <uid> --force で強制的にチェックインできます。

シングルユーザーのチェックアウトを使わない場合: 承認後も pam workflow start でアクセス用のセッションを開始する必要があります (--start-on-approval を付けた場合は、承認と同時にアクセス時間のカウントが始まります)。複数のユーザーが、同じリソースに対して同時に承認済みの状態でアクセスできます。

表示: リソースがチェックアウトされているとき、pam workflow state <record> の出力にChecked out byフィールドが出ます。チェックアウト中のユーザーのメールアドレスを確認できます。

強制チェックイン (--force) は、シングルユーザーのチェックアウトが有効なときだけ使えます。応答がない、セッションを開きっぱなしにしているなど、承認者がユーザーのセッションを終了させる必要がある場合に使います。

---

代表的なワークフローのライフサイクル

JIT (ジャストインタイム) 特権アクセスの典型的な流れは以下のとおりです。

1. 管理者がPAMレコードにワークフローを作成します

   pam workflow create "Prod Server" -n 1 -co -rm -d 2h
2. 管理者が承認者を追加します

   pam workflow add-approver "Prod Server" -u [e-mail]
3. ユーザーがアクセスを申請します

   pam workflow request "Prod Server" -r "Deploy hotfix" -t "INC-789"
4. 承認者が保留中の要求を確認します

   pam workflow pending
5. 承認者が要求を承認します

   pam workflow approve xY9zA8bC7dE6
6. ユーザーがリソースをチェックアウトします

   pam workflow start "Prod Server"
7. ユーザーは (--require-mfa が有効なら) MFAのあと、pam tunnel または pam launch で接続します

   pam tunnel start "Prod Server" または pam launch "Prod Server"
8. ユーザーが作業完了後にチェックインします

   pam workflow end "Prod Server"

---

用語集

用語	定義
Flow UID	ワークフロー申請インスタンスを一意に識別する識別子。ユーザーがアクセスを申請したときに生成され、その個別申請の承認、却下、開始、終了に使用します。pam workflow pending および pam workflow my-access の出力で確認できます。
Stage	ワークフロー申請の現在の状態。Needs Action (申請なし)、Waiting (申請中で承認または時間帯待ち)、Ready to Start (承認済みでチェックアウト待ち)、Started (進行中のセッション) のいずれか。
Conditions	ワークフローを次の段階に進めるために満たす必要がある未充足の要件。設定可能な値: Approval Required、Check-in Required、MFA Required、Time Restriction、Reason Required、Ticket Required。
Check-out	pam workflow start でリソースの排他的アクセスを取得すること。シングルユーザーのチェックイン/チェックアウトモードが有効な場合に必要です。
Check-in	pam workflow end でリソースのアクセスを解放すること。認証情報のローテーションが行われる場合があります。