構成ファイル

自動化およびCLI利用のためのコマンダー構成ファイルについて

コマンダー構成ファイル

コマンダーはログインデータを2か所のいずれかに保存できます。

デフォルトでは、資格情報とセッションデータはOSキーチェーンに保存されます。
シェル内で keeper shell --config-file または login --config-file を使用すると、代わりに構成ファイルに保存されます。

ファイルベースの保存を使用する場合、コマンダーはmacOSおよびLinuxでは ~/.keeper/config.json、Windowsでは C:\Users\[USERNAME]\.keeper\config.json に構成ファイルを作成します。--config で別の構成ファイルパスを指定できます。

例:

keeper shell --config-file
login --config-file user@example.com

構成ファイルからの保存をやめOSキーチェーンに戻す場合は、ローカルの config.json を削除し、--config-file を付けずに keeper shell を実行してログインします。

構成ファイルの例

{
    "server": "keepersecurity.eu",
    "user": "services@company.com",
    "password": "your_password_here",
    "private_key": "yaeK4jMeIGNkSR2pi4xf2XGmYM094YMUoE8-QEW9CAA",
    "device_token": "g6RDMxr1t-bcVdBeBpz-xQ",
    "mfa_duration": "forever",
    "proxy": "http://proxy_user:proxy_password@host:port",
    "sso_master_password": false,
    "skip_records": false,
    "debug": false,
    "plugins": [],
    "commands": [],
    "timedelay": 0
}

構成ファイルのオプション

server Keeperデータセンターのリージョン
コマンダーはデフォルトで米国リージョンを使用します。そのため、他のリージョンにホストされているお客様は、構成ファイルでサーバーを指定する必要があります。
リージョン
「server」のプロパティ設定
US
https://keepersecurity.com
EU
https://keepersecurity.eu
AU
https://keepersecurity.com.au
GOV
https://govcloud.keepersecurity.us
CA
https://keepersecurity.ca
JP
https://keepersecurity.jp
debug 詳細なデバッグログ出力とネットワーク通信を有効または無効にします。
- true または false に設定
commands 実行するKeeperコマンドのカンマ区切りリスト
timedelay 指定したコマンドをX秒ごとに実行します。
- 例: "timedelay":600 は10分ごとにコマンドを実行します。
private_key 新しいデバイスでコマンダーによって生成されたデバイスの秘密鍵。この鍵は、ボルトデータの暗号化と復号化に使用されます。
device_token 新しいデバイスごとにバックエンドによって生成されるデバイストークン。デバイストークンは、デバイスを一意に識別するために使用され、セッションの動作を制御します。
proxy プロキシURL: schema://[user:password@]host:port ここでスキーマは以下のとおりです。
- http HTTPプロキシ
- socks5 ローカルDNSを使用したSOCKS5プロキシ
- socks4 ローカルDNSを使用したSOCKS4プロキシ
- socks4a リモートDNSを使用したSOCKS4プロキシ
- socks5h リモートDNSを使用したSOCKS5プロキシ
certificate_check HTTP SSL証明書検証の有効/無効。true (デフォルト) または false を設定します。true の場合、KEEPER_SSL_CERT_FILE のCAバンドルまたはデフォルトのCAストアを使用します。SSL/TLSとカスタムCA証明書をご参照ください。
sso_master_password エンタープライズSSOアカウントのマスターパスワードログインを強制します。
skip_records 値が true に設定されている場合、レコードの同期を防ぎます。非常に大きなボールトを持つユーザーでは、ログイン後に全レコードを同期せずにコマンドを実行できるようになります。ログイン後にレコードの同期を強制するには、sync-down --force を使用してください。
config.jsonの例: "skip_records": true,
config_storage 構成情報をAWS Secrets ManagerまたはAWS Key Management Serviceで保護することができます。

構成ファイルからのコマンドの実行

commands フィールドを使用すると、ログイン時に所定のコマンドを実行できます。

以下のように、実行するKeeperコマンダーコマンドのカンマ区切りリストを入力します。

config.json
{
 ...
 "commands": ["sync-down", "file-report -d"]
 ...
}

この例では、同期してから、ボルト内の利用可能なファイルのレポートをダウンロードします。

構成ファイルの場所

バイナリインストーラーからコマンダーを起動し、--config-file を使用する場合、構成ファイルはユーザーのホームディレクトリ内の .keeper フォルダに作成されます。

Mac環境: ~/.keeper/config.json Windows環境: /Users/{Username}/Documents/.keeper/config.json

pip3またはソースからコマンダーを使用し、--config-file を指定する場合、構成ファイルはコマンダー実行ファイルを起動したカレントフォルダに作成されます。

以下のように、コマンダー起動時に使用する構成ファイルを指定することもできます。

$ keeper shell --config /path/to/config.json

マルチサーバー環境での認証

複数のサーバーや動的に生成されるサーバー環境では、すべてのフィールドが入力され、デバイス識別子が「承認」されていれば、同じ config.json ファイルを各インスタンスで使用できます。

config.json ファイルの例

{
    "user": "service@company.com",
    "password": "RANDOM_LONG_PASSWORD",
    "server": "https://keepersecurity.com",
    "private_key": "yaeK4jMeIGNkSR2pi4xf2XGmYM094YMUoE8-QEW9CAA",
    "device_token": "g6RDMxr1t-bcVdBeBpz-xQ"
}

少なくとも1度デバイス承認を行っていれば、この構成ファイルは任意の数のサーバーで読み込むことができます。

このファイルを複数のインスタンスに配布する場合は、クラウドインフラが提供する安全なストレージ機能で保護することを推奨します。また、Keeper管理コンソールでユーザーアカウントをIP範囲で制限されたロール適用ポリシーに割り当てることも推奨されます。

ログイン状態を維持機能を使用すると、パスワードを再入力せずにコマンダーデバイスが認証できます。デフォルトでは、必要なデータはOSキーチェーンに保存されます。--config-file を使用する場合、セッションデータは代わりに config.json に保存されます。

これは、自動化スクリプトや他のソフトウェアからコマンダーを呼び出す場合に便利です。

この機能を有効にするには、デバイスを登録し、ログイン状態を維持機能をオンにします。その後、次回ログイン時にコマンダーがセッションを自動的に再開します。--config-file を使用する場合、セッショントークンは config.json に保存されます。

永続ログインを構成ファイルに保存する場合は、この手順を使用します。--config-file を付けずにログインする場合、同じセッションデータはOSキーチェーンに保存されます。

ファイルベースモードでコマンダーを起動します:

$ keeper shell --config-file

以下はデバイスで30日間 (最大) の永続ログインを有効にするコマンドです。

My Vault> this-device register
My Vault> this-device persistent-login on
My Vault> this-device ip-auto-approve on
My Vault> this-device timeout 30d
My Vault> quit

値として秒 (たとえば、60秒は60) または数字と文字 (たとえば、1分は1m、5時間は5h、7日は7d) を使用できます。

また、「logout」と入力するとセッションが無効になることにもご留意ください。終了するには、コマンダーセッションを「quit」します。

--config-file で「ログイン状態を維持」を有効にすると、ローカルの config.json は以下のようになります。

{
    "private_key": "8n0OqFi9o80xGh06bPzxTV1yLeKa5BdWc7f7CffZRQ",
    "device_token": "R2O5wkajo5UjVmbTmvWnwzf7DK1g_Yf-zZ3dWIbKPOng",
    "clone_code": "retObD9F0-WDABaUUGhP0Q",
    "user": "me@company.com",
    "server": "keepersecurity.com"
}

構成ファイルを変更して、コマンドの自動実行などの機能を利用することもできます。詳細については、構成ファイルのドキュメントをご参照ください。

ログイン状態を維持のセッションは任意の数作成できます。ただし、ログイン状態を維持のオプションは動的なマルチサーバー環境向けではありません。複数のサーバーで同じ構成ファイルを共有すると、2台目のサーバーにログインしようとした際にログイン状態を維持が失敗します。

動的なマルチサーバー環境の場合は、前述の、すべての項目が入力された構成ファイルを各インスタンスに配布する方法をご参照ください。

ログイン状態を維持機能でのコマンド実行

異なるファイルベースの構成を維持したい場合は、指定した構成ファイルを使ってコマンダーを実行できます。例えば、以下のコマンドを使用すると、ログインを求められることなくCLIが起動します。

$ keeper --config=my_config.json shell

CLI を終了する場合は、「logout」ではなく「quit」と入力します。「logout」と入力するとセッションが期限切れとなり、新しいログイン状態を維持の構成を作成する必要があります。

ログインを求められることなく特定のコマンドを実行することができます。以下の例では、1 行のコマンドで新しいレコードが自動的に作成されます。

$ keeper --config=config_demo.json "add --login myuser -g --url https://google.com -t 'Google'"

HTTP REST API サービスモード

コマンダーでは、最小限のセットアップで導入できるネイティブの REST API統合が利用可能です。このモジュールを使用すると、REST APIインターフェイスを通じてコマンダーCLIコマンドを実行しながら、セキュリティと構成の柔軟性を維持できます。サービスはローカルで実行でき、必要に応じてNgrokやCloudflareトンネルと統合してルーティング可能なアドレスを作成することも可能です。

サービスモードREST APIの詳細についてはこちらのページをご覧ください。

保護されたストレージに構成を保存

機密性の高い構成ファイルのパラメータ (user、password、server、device_token、private_key、clone_code) は、サードパーティ製のシークレットマネージャまたはハードウェアセキュリティモジュールにオプションで保存できます。

保護されたストレージを使用するには、config_storage プロパティを構成ファイルに追加します。config_storage の値はURL形式です。ストレージのURL形式については、以下の各ページをご参照ください。

コマンダーでは、以下のストレージを利用できます。

作業ディレクトリの構成

デフォルトでは、コマンダーは構成ファイルやログファイルを ~/.keeper に保存します。環境変数を使用してシステム全体の構成を行ったり、コマンドラインパラメータでセッションごとに上書きしたりすることで、この保存場所をカスタマイズできます。

デフォルト作業ディレクトリの構成

自動化

コマンダーには以下のような自動化機能が備わっています。

前へ構成設定と使用法

次へSSL/TLSとカスタムCA証明書

最終更新 2 か月前