PAM Extendedコマンド

PAM Extendedコマンド

pam extended コマンドグループは、コマンダーからPAMローテーションスケジュールと検出ルールを高度に管理するためのものです。これらの操作は、自動化、スクリプト、CI/CDパイプライン向けに、ボルトのウェブUIを補完します。

特定のサブコマンドのヘルプを表示するには、以下を実行します。

pam extended schedule help
pam extended rule help

コマンドリファレンス

スケジュールコマンド

コマンド
説明

pam extended schedule list

認証済みユーザーが参照できるPAMローテーションスケジュールをすべて一覧表示

pam extended schedule set

PAMレコードのローテーションスケジュールを作成または更新

pam extended schedule delete

PAMレコードからローテーションスケジュールを削除

ルールコマンド

コマンド
説明

pam extended rule list

PAM構成に関連付けられた検出ルールを一覧表示

pam extended rule add

PAM構成に新しい検出ルールを追加

pam extended rule delete

PAM構成から検出ルールを削除


pam extended schedule listコマンド

認証済みユーザーが参照できるPAMローテーションスケジュールをすべて一覧表示します。PAM構成UIDでフィルタすることもできます。

構文

オプション

オプション
説明

--config-uid <uid>

特定のPAM構成UIDの結果に絞り込み

--format table|json

出力形式。デフォルト: table

例 — すべてのスケジュールを一覧表示

例 — JSON出力


pam extended schedule setコマンド

PAMレコードのローテーションスケジュールを作成または更新します。スケジュールは PAMRotationSchedule.scheduleData 内のJSON cron式として保存され、次回のローテーションウィンドウから有効になります。

構文

パラメータ

パラメータ
必須
説明

<uid_ref>

はい

スケジュール対象のPAMレコードUID

--cron <expression>

はい

5フィールドのcron式 (分 時 日 月 曜日)

--config-uid <uid>

いいえ

特定のPAM構成にスケジュールを関連付け

--notify <email>

いいえ

スケジュール実行時に通知するメールアドレス。繰り返し指定可

Cron式の形式

Keeperでは標準の5フィールドcron構文が使われます。

毎日03:00UTCにローテーションする例。

6時間ごとにローテーションし、2名に通知する例。

月曜02:30にローテーションし、特定の構成にスコープする例。


pam extended schedule deleteコマンド

noSchedule=True を設定してPAMレコードからローテーションスケジュールを削除します。レコードはスケジュールによるローテーションの対象外になりますが、手動でのローテーションは引き続き可能です。

構文

パラメータ

パラメータ
必須
説明

<uid_ref>

はい

スケジュールを削除するPAMレコードのUID


pam extended rule listコマンド

PAM構成に関連付けられた検出ルールを一覧表示します。ルールはPAM DAGの DISCOVERY_RULES グラフノードに保存されます。

構文

パラメータ

パラメータ
必須
説明

--config-uid <uid>

はい

照会するPAM構成のUID

--format table|json

いいえ

出力形式。デフォルト: table


pam extended rule addコマンド

PAM構成に新しい検出ルールを追加します。ルールは PAMElementData に対する PAMModifyRequest のADD操作によりPAM DAGに書き込まれます。

構文

パラメータ

パラメータ
必須
説明

<name>

はい

ルールの表示名

--cidr <range>

はい

CIDR表記の対象IP範囲 (例: 10.0.1.0/24)

--config-uid <uid>

はい

ルールを関連付けるPAM構成のUID

--type

いいえ

対象タイプ: machine (デフォルト)、 userdatabase

--protocol

いいえ

接続プロトコル: ssh (デフォルト)、 rdpdatabase

--credential-uid <uid>

いいえ

ルールに関連付ける認証情報レコードのUID

ウェブ層向けのマシン検出ルールを追加する例。

リンク済み認証情報付きのデータベース検出ルールを追加する例。


pam extended rule deleteコマンド

要素UID (pam extended rule list の戻り値) でPAM構成から検出ルールを削除します。削除は PAMModifyRequest のDELETE操作で適用されます。

構文

パラメータ

パラメータ
必須
説明

<uid>

はい

削除する検出ルール要素の16進UID

--config-uid <uid>

はい

ルールが属するPAM構成のUID


注記

  • すべての pam extended コマンドには、有効なエンタープライズ管理者セッションが必要です。

  • レコードおよび構成のUIDは、 pam config list または pam project list で確認できます。

  • スケジュールの変更は、PAMゲートウェイが評価する次回のローテーションウィンドウから有効になります。即時ローテーションの強制実行はありません。

  • pam extended rule add で追加した検出ルールは、次回の検出サイクルでPAMゲートウェイが評価します。既に検出済みのレコードには遡って影響しません。

  • 任意の list コマンドで --format json を指定すると、出力をスクリプトや他ツールにパイプできます。

最終更新