PAM Gatewayコマンド

Keeperゲートウェイは、管理対象環境でローテーション、検出、接続、トンネル接続を実行します。Docker、Linux、Windows上のホスト、VM、 クラスターにデプロイでき、1つのゲートウェイでオンプレミスとクラウドの両方に対応できます。

Gateway Listコマンド

コマンダーユーザーがアクセス可能なすべてのゲートウェイを一覧表示します。対象は、ユーザーが自身のボルトから直接アクセスできるゲートウェイ、およびユーザーのロールに含まれる管理ノードのいずれかに登録されているゲートウェイです。

DotNet CLI

コマンド: pam-gateway list

別名: pam-gw list / pam-gw l

パラメーター:

パラメーター	説明
--online, -o	オンラインのゲートウェイのみ表示
--ignore-router	ルーターが利用できない場合に登録済みゲートウェイを一覧表示
--verbose, -v	詳細出力 (デバイス、ノード、OS情報、ルーターホスト)
--format {table,json}	出力形式。デフォルト: table

例:

My Vault>  pam-gateway list
KSM Application Name (UID)                                Gateway Name                                                  Gateway UID             Status   Gateway Version
--------------------------------------------------------  ------------------------------------------------------------  ----------------------  -------  ---------------
New-G1 Application (B17aoEfDlasq23U369OIvpbvw)               New-G1 Gateway                                            Y-2M-dszTK6Eu3oiCmF50g  OFFLINE                 
[APP NOT ACCESSIBLE OR DELETED] (vHARyY3cQnaxdfr45O0FcxRtA)  snowPAM Gateway                                           qsww2tPDSriaR1kJnl6TIA  OFFLINE                 

DotNet SDK

関数:

 public static async Task<IList<PamProto.PAMController>> GetAllGatewaysAsync(IAuthentication auth)
    {
      var response = (PamProto.PAMControllersResponse)await auth.ExecuteAuthRest(
        GetControllersEndpoint,
        null,
        typeof(PamProto.PAMControllersResponse));
      return response?.Controllers?.ToList() ?? new List<PamProto.PAMController>();
    }

Power Commander

コマンド: Get-KeeperPamGatewayList

別名: pam-gateway-list / pam-gw-list

パラメーター:

パラメーター	説明
-Force, -f	ルーターが利用できない場合に登録済みゲートウェイを一覧表示
-VerboseOutput	ゲートウェイおよびルーターの詳細情報を出力
-Format {table,json}	出力形式。デフォルト: table
-Online, -o	オンラインのゲートウェイのみ表示

例:

PS > Get-KeeperPamGatewayList
Syncing PAM data...

KSM Application Name (UID)                               Gateway Name                                                                           Gateway UID
--------------------------                               ------------                                                                           -----------
New-G1 Application (B17aoEfDlasq23U369OIvpbvw)              New-G1 Gateway                                                                     AN1Y-2MzTK6E…
[APP NOT ACCESSIBLE OR DELETED] (vHRyY3cQnaxdfr45O0FcxRtA) snowPAM Gateway                                                                    AThw2tPDSria…

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Gateway Createコマンド

新しいゲートウェイを作成するコマンドです。

DotNet CLI

コマンド: pam-gateway new

別名: pam-gw new / pam-gw n

パラメーター:

パラメーター	説明
--name, -n	ゲートウェイの名前
--application, -a	KSMアプリケーションの名前またはUID
--token-expires-in-min, -e	ワンタイムトークンの有効期限 (分)。デフォルト: 60。最大: 1440
--return-value, -r	トークン/構成のみを返す (自動化向け)
--config-init, -c {json,b64}	クライアント構成を初期化し、生のトークンではなく構成文字列を返す

例:

My Vault> pam-gateway new --name "Prod Gateway" --application "<application-uid>"
The one time token has been created in application "<application-uid>".

The new Gateway named Prod Gateway will show up in the gateway list once it is initialized.

Following one time token will expire in 60 minutes:
-----------------------------------------------
US:<one-time-token>
-----------------------------------------------                                                    

DotNet SDK

関数:

public static async Task<string> CreateGatewayAsync(
      VaultOnline vault,
      string gatewayName,
      string ksmAppUid,
      int ottExpireInMinutes = DefaultOttExpireMinutes,
      string configInit = null)
    {
      if (vault == null)
      {
        throw new ArgumentNullException(nameof(vault));
      }

      if (string.IsNullOrWhiteSpace(gatewayName))
      {
        throw new ArgumentException("Gateway name is required", nameof(gatewayName));
      }

      if (string.IsNullOrWhiteSpace(ksmAppUid))
      {
        throw new ArgumentException("KSM application UID is required", nameof(ksmAppUid));
      }

      var result = await vault.AddSecretManagerClient(
        ksmAppUid,
        unlockIp: true,
        firstAccessExpireInMinutes: ottExpireInMinutes,
        name: gatewayName,
        appClientType: AppClientType.DiscoveryAndRotationController);

      var oneTimeToken = result?.Item2 ?? throw new InvalidOperationException("Gateway one-time token was not returned");
      if (string.IsNullOrWhiteSpace(configInit))
      {
        return oneTimeToken;
      }

      return await FormatGatewayConfigAsync(vault, oneTimeToken, configInit);
    }

Power Commander

コマンド: New-KeeperPamGateway

別名: pam-gateway-new / pam-gw-new

パラメーター:

パラメーター	説明
-Name, -n	ゲートウェイ名
-Application, -a	KSMアプリケーションのUIDまたはタイトル
-TokenExpiresInMinutes, -e	ワンタイムトークンの有効期限 (分)。デフォルト: 60。最大: 1440
-ConfigInit, -c {json,b64}	クライアント構成を初期化し、構成文字列を返す
-ReturnValue, -r	トークン/構成文字列のみを返す

例:

PS > New-KeeperPamGateway -Name "Prod Gateway" -Application "<application-uid>"
The one time token has been created in application "<application-uid>".

The new Gateway named Prod Gateway will show up in the gateway list once it is initialized.

Following one time token will expire in 60 minutes:
-----------------------------------------------
US:<one-time-token>
-----------------------------------------------

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Gateway Editコマンド

ゲートウェイの名前や登録ノードを更新できます。同等の操作は、管理コンソールの [シークレットマネージャー] → [ゲートウェイ] からも実行できます。

DotNet CLI

コマンド: pam-gateway edit

別名: pam-gw edit / pam-gw e

パラメーター:

パラメーター	説明
--gateway, -g	ゲートウェイのUIDまたは名前
--name, -n	新しいゲートウェイ名
--node-id, -i	エンタープライズノードのIDまたは名前

* --name または --node-id のいずれか一方が必須です。

例:

My Vault> pam-gateway edit --gateway "Prod Gateway" --name "Production Gateway"
Gateway Production Gateway has been edited.

DotNet SDK

関数:

public static async Task EditGatewayAsync(
      IAuthentication auth,
      string gatewayUid,
      string gatewayName,
      long nodeId)
    {
      if (string.IsNullOrWhiteSpace(gatewayName))
      {
        throw new ArgumentException("Gateway name is required", nameof(gatewayName));
      }

      var request = new PamProto.PAMController
      {
        ControllerUid = ByteString.CopyFrom(DecodeGatewayUid(gatewayUid)),
        ControllerName = gatewayName,
        NodeId = nodeId,
      };

      await auth.ExecuteAuthRest(ModifyControllerEndpoint, request, null);
    }

Power Commander

コマンド: Set-KeeperPamGateway

別名: pam-gateway-edit / pam-gw-edit

パラメーター:

パラメーター	説明
-Gateway, -g	ゲートウェイのUIDまたは名前
-Name, -n	新しいゲートウェイ名
-NodeId, -i	エンタープライズノードのIDまたは名前

* -Name または -NodeId のいずれか一方が必須です。

例:

PS > Set-KeeperPamGateway -Gateway "YZIMw2wQQashetyRmb_vj-4Ku_IA" -Name "Production Gateway"
Gateway Production Gateway has been edited.

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Gateway Removeコマンド

ゲートウェイを削除します。この操作を実行するユーザーは、ゲートウェイの親アプリケーションに対する管理者権限を持っている必要があります。

DotNet CLI

コマンド: pam-gateway remove

別名: pam-gw remove / pam-gw rm / pam-gateway delete

パラメーター:

パラメーター	説明
--gateway, -g	ゲートウェイのUIDまたは名前

例:

My Vault> pam-gateway remove --gateway "YZIMw2wQQnhautwr1-Rmb_vj-4Ku_IA"
Gateway Prod Gateway has been removed.

DotNet SDK

関数:

public static async Task RemoveGatewayAsync(IAuthentication auth, string gatewayUid)
    {
      var uidBytes = DecodeGatewayUid(gatewayUid);
      var request = new PamProto.PAMGenericUidRequest
      {
        Uid = ByteString.CopyFrom(uidBytes),
      };

      var response = (PamProto.PAMRemoveControllerResponse)await auth.ExecuteAuthRest(
        RemoveControllerEndpoint,
        request,
        typeof(PamProto.PAMRemoveControllerResponse));

      var controller = response?.Controllers?.FirstOrDefault(x =>
        x.ControllerUid != null && x.ControllerUid.ToByteArray().SequenceEqual(uidBytes));
      if (controller != null)
      {
        throw new KeeperApiException("remove_controller", controller.Message);
      }
}

Power Commander

コマンド: Remove-KeeperPamGateway

別名: pam-gateway-remove / pam-gw-remove / pam-gateway-rm

パラメーター:

パラメーター	説明
-Gateway, -g	ゲートウェイのUIDまたは名前

例:

PS > Remove-KeeperPamGateway -Gateway "ssPtYpO4TmnjauetA4-iKLEsqPnVDEA"
Gateway Production Gateway has been removed.

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Gateway set-max-instancesコマンド

ゲートウェイプールの最大インスタンス数を定義します。高可用性構成で使用します。

DotNet CLI

コマンド: pam-gateway set-max-instances

別名: pam-gw set-max-instances / pam-gw smi

パラメーター:

パラメーター	説明
--gateway, -g	ゲートウェイのUIDまたは名前
--max-instances, -m	ゲートウェイインスタンスの上限数 (1以上)

例:

My Vault>  pam-gateway set-max-instances --gateway "ygE7xsutS0haunet460-qZEIGZ-33qfQ" --max-instances 3
NG1 Gateway: max instance count set to 3

DotNet SDK

関数:

public static async Task SetGatewayMaxInstancesAsync(IAuthentication auth, string gatewayUid, int maxInstanceCount)
    {
      if (maxInstanceCount < 1)
      {
        throw new ArgumentOutOfRangeException(nameof(maxInstanceCount), "Max instances must be at least 1");
      }

      var request = new PamProto.PAMSetMaxInstanceCountRequest
      {
        ControllerUid = ByteString.CopyFrom(DecodeGatewayUid(gatewayUid)),
        MaxInstanceCount = maxInstanceCount,
      };

      await auth.ExecuteAuthRest(SetMaxInstanceCountEndpoint, request, null);
}

Power Commander

コマンド: Set-KeeperPamGatewayMaxInstances

別名: pam-gateway-set-max-instances / pam-gw-set-max-instances

パラメーター:

パラメーター	説明
-Gateway, -g	ゲートウェイのUIDまたは名前
-MaxInstances, -m	ゲートウェイインスタンスの上限数 (1以上)

例:

PS > Set-KeeperPamGatewayMaxInstances -Gateway "ygE7xsutnahuyete-S0qZEIGZ-33qfQ" -MaxInstances 3
NG1 Gateway: max instance count set to 3

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開