PAM Rotationコマンド

レコードのKeeperローテーションの設定を表示および作成します。

Rotation Listコマンド

ローテーションが設定されているすべてのリソースの一覧を表示します。

DotNet CLI

コマンド: pam-rotation list

別名: pam-rot list / pam-rot l

パラメーター:

パラメーター	説明
--verbose, -v	ゲートウェイUIDとPAM構成UIDの列を含める

例:

My Vault> pam-rotation list
Syncing PAM data...
Record UID              Record Title                      Record Type  Schedule           Gateway      PAM Configuration (Type)                   
----------------------  --------------------------------  -----------  -----------------  -----------  -------------------------------------------
2fImoc1puL7wyhsynV0Mu8ydkRQ  NG1 - MySQL Rotation User         pamUser      [Manual Rotation]  NG1 Gateway  NG1 Configuration (pamNetworkConfiguration)
YYR3C5lzHG0ndheoZfUVJc8zw2A  NG1 - SSH Admin with Password     pamUser      [Manual Rotation]  NG1 Gateway  NG1 Configuration (pamNetworkConfiguration)

DotNet SDK

関数:

    public static async Task<PamProto.PAMRotationSchedulesResponse> GetRotationSchedulesAsync(IAuthentication auth)
    {
      if (auth == null)
      {
        throw new ArgumentNullException(nameof(auth));
      }

      var request = new PamProto.PAMGenericUidsRequest();
      return await auth.ExecuteRouter<PamProto.PAMRotationSchedulesResponse>(
        GetRotationSchedulesPath,
        request);
    }

Power Commander

コマンド: Get-KeeperPamRotationList

別名: pam-rotation-list / pam-rot-list

パラメーター:

パラメーター	説明
-VerboseOutput, -v	ゲートウェイUIDとPAM構成UIDの列を含める

例:

PS > Get-KeeperPamRotationList                           
Syncing PAM data...

Record UID             Record Title                       Record Type Schedule          Gateway       PAM Configuration (Type)
----------             ------------                       ----------- --------          -------       ------------------------
ah2zcniqasGsnAAOhZJzV83zeQ Gate1 - MySQL Rotation User        pamUser     [Manual Rotation] Gate1 Gateway Gate1 Configuration (pamNetworkConfiguration)
eYxj7nsyufYf27jr19_sr1aKDQ Gate1 - SSH Admin with Password    pamUser     [Manual Rotation] Gate1 Gateway Gate1 Configuration (pamNetworkConfiguration)
pP0ivRkEARiuatg5jpNydPOGKA Gate1 - SSH Admin with Private Key pamUser     [Manual Rotation] Gate1 Gateway Gate1 Configuration (pamNetworkConfiguration)

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Infoコマンド

特定のリソースに対するローテーション設定の情報を表示します。

DotNet CLI

コマンド: pam-rotation info

別名: pam-rot info / pam-rot i

パラメーター:

パラメーター	説明
--record, -r	レコードのUID、名前、またはタイトル
--record-uid	--record のUID別名
--format {table,json}	出力形式。デフォルト: table

* --record または --record-uid のいずれかが必須です。

例:

My Vault> pam-rotation info --record 2fImoc1puL7nV0Mu8ydkRQ
Rotation Status: Ready to rotate (RrsOnline)
PAM Config UID: R1dgEDZZ00ez02vY2njudgnB7Qg
Node ID: 894448414289341228482
Gateway Name: NG1 Gateway
Gateway UID: ygE7xsutS0ndhau555eiqZEIGZ-33qfQ
Admin Resource Uid: 4orXZIfikFwnahuSFOnj-Q0PM4KMA
Password Complexity: PRpTItpnjdyehwywio-wjwuwnjj2_WUD6DLlriG4x1WT8J3woK_otiTgYx588ID3hEl21-70Ue1Z-1JC07-04b5WZKYZUkdisXy0qK5JvppAvgXtDqJBW5a_ab8wAm6N3CiAbi
Password Complexity Data: 20,4,4,4,4,!@#$%^?();',.=+[]<>{}-_/\*&:"`~|
Is Rotation Disabled: True
Schedule: Manual Rotation

DotNet SDK

関数:

    public static async Task<RouterProto.RouterRotationInfo> GetRotationInfoAsync(
      IAuthentication auth,
      string recordUid)
    {
      if (auth == null)
      {
        throw new ArgumentNullException(nameof(auth));
      }

      if (string.IsNullOrWhiteSpace(recordUid))
      {
        throw new ArgumentException("Record UID is required", nameof(recordUid));
      }

      var request = new PamProto.PAMGenericUidRequest
      {
        Uid = ByteString.CopyFrom(recordUid.Trim().Base64UrlDecode()),
      };

      var response = await auth.ExecuteAuthRest(
        GetRotationInfoEndpoint,
        request,
        typeof(RouterProto.RouterRotationInfo));

      if (response is not RouterProto.RouterRotationInfo rotationInfo)
      {
        throw new InvalidOperationException(
          $"Unexpected response type from {GetRotationInfoEndpoint}: {response?.GetType().Name ?? "null"}");
      }

      return rotationInfo;
    }

Power Commander

コマンド: Get-KeeperPamRotationInfo

別名: pam-rotation-info / pam-rot-info

パラメーター:

パラメーター	説明
-Record, -r	レコードのUID、名前、またはタイトル
-RecordUid	-Record のUID別名
-Format {table,csv,json}	出力形式。デフォルト: table

* -Record または -RecordUid のいずれかが必須です。

例:

PS > Get-KeeperPamRotationInfo -Record qzG2zuiq23cGsnAAOhZJzV83zeQ
Rotation Status: Ready to rotate (RrsOnline)
PAM Config UID: r0GEhsnhyaXL8fQaY3f_cyy_--w
Node ID: 8944484109127814228482
Gateway Name: Gate1 Gateway
Gateway UID: UorQhjoelaoauTNGA4rRzcNd-fQ
Admin Resource Uid: r0GEhsnhyaXL8fQaY3f_cyy_jaahy
Password Complexity: IQwBdlnCE9vj9nshsui6Fk3Gt45AUdXBMP4OM1ple1_p2pEhgyjsnjsuL8tt8QiLqDv7GUAmAZ-AX5KJGyWDwRE3EdDkuc3BrwAUjnUl-oCxFiMOnbWnTUO5qJEAlJS
Password Complexity Data: Length: 20; Lowercase: 4; Uppercase: 4; Digits: 4; Symbols: 4; Special Characters: !@#$%^?();',.=+[]<>{}-_/\*&:"`~|
Is Rotation Disabled: False
Schedule: Manual Rotation

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Editコマンド

PAMレコードのローテーション設定を作成または更新します。単一レコードの場合は --record を、一括設定の場合は --folder を使用します。

DotNet CLI

コマンド: pam-rotation edit

別名: pam-rot edit / pam-rot e / pam-rotation new / pam-rot new

パラメーター:

パラメーター	説明
--record, -r	レコードのUID、名前、またはパターン
--folder	一括ローテーション設定用のフォルダUIDまたは名前
--force, -f	確認プロンプトをスキップ
--config, -c	PAM構成のUIDまたはタイトル
--iam-aad-config	IAM/Azure AD用PAM構成のUID (--resourceの代わりに指定)
--resource	管理者リソースレコードのUIDまたはタイトル
--rotation-profile	ローテーションプロファイル: general、iam_user、scripts_only、saas
--saas-config-uid	SaaS構成のUID (saasプロファイル用)
--schedule-json	ローテーションスケジュールのJSON
--schedule-cron	ローテーションスケジュールのCRON式
--on-demand	手動 (オンデマンド) ローテーションを設定
--schedule-config	PAM構成からスケジュールを継承
--schedule-only	ローテーションスケジュールのみ更新
--complexity, -x	パスワード複雑度のCSV: length,upper,lower,digits,symbols[,chars]
--complexity-json	パスワード複雑度ルール (JSON形式)
--admin-user, -a	リソースの管理者認証情報として設定するPAMユーザーレコードのUID
--enable, -e	ローテーションを有効化
--disable, -d	ローテーションを無効化

* --record または --folder のいずれか一方が必須です (両方の指定は不可)。

* --resource と --iam-aad-config、または --enable と --disable は同時に指定できません。

例:

My Vault> pam-rotation edit -r "<record-uid>" -c "<configuration-uid>" --resource "<resource-uid>" --on-demand
Syncing PAM data...
Selected 1 PAM record(s) for rotation

The following record(s) will be updated:
Record UID              Record Title                 Enabled  Configuration UID       Resource UID            Schedule   Complexity                                 
----------------------  ---------------------------  -------  ----------------------  ----------------------  ---------  -------------------------------------------
cGsnAAsbsgayOhZJzV83zeQ  Gate1 - MySQL Rotation User  X        8i8quwtfQaY3f_cyy_--w  TmBY8772ataddJ7BgO978nw  On-Demand  20,4,4,4,4,!@#$%^?();',.=+[]<>{}-_/\*&:"`~|


Do you want to update password rotation? [Y/n]: y

DotNet SDK

関数:

    public static async Task SetRecordRotationAsync(IAuthentication auth, RouterProto.RouterRecordRotationRequest request)
    {
      if (auth == null)
      {
        throw new ArgumentNullException(nameof(auth));
      }

      if (request == null)
      {
        throw new ArgumentNullException(nameof(request));
      }

      if (auth.Endpoint is not KeeperEndpoint keeperEndpoint)
      {
        throw new InvalidOperationException("Endpoint must be KeeperEndpoint to use SetRecordRotationAsync");
      }

      await keeperEndpoint.ExecuteRouterRest(
        SetRecordRotationPath,
        auth.AuthContext.SessionToken,
        request.ToByteArray());
    }

Power Commander

コマンド: Set-KeeperPamRotation

別名: pam-rotation-edit / pam-rot-edit / pam-rotation-new / pam-rot-new

パラメーター:

パラメーター	説明
-Record, -r	レコードのUID、名前、またはパターン
-Folder, -fd	一括ローテーション設定用のフォルダUIDまたは名前
-Force, -f	確認プロンプトをスキップ
-Config, -c	PAM構成のUIDまたはタイトル
-IamAadConfig, -iac	IAM/Azure AD用PAM構成のUID
-Resource, -rs	管理者リソースレコードのUIDまたはタイトル
-RotationProfile, -rp	general、iam_user、scripts_only、saas
-SaasConfigUid	SaaS構成のUID (saasプロファイル用)
-ScheduleJson, -sj	ローテーションスケジュールのJSON
-ScheduleCron, -sc	ローテーションスケジュールのCRON式
-OnDemand, -od	手動オンデマンドローテーションを設定
-ScheduleConfig, -sf	PAM構成からスケジュールを継承
-ScheduleOnly, -so	ローテーションスケジュールのみ更新
-Complexity, -x	パスワード複雑度のCSV
-ComplexityJson	パスワード複雑度ルール (JSON形式)
-AdminUser, -a	管理者認証情報用のPAMユーザーレコードUID
-Enable, -e	ローテーションを有効化
-Disable, -d	ローテーションを無効化

* -Record または -Folder のいずれか一方が必須です (両方の指定は不可)。

例:

PS >  Set-KeeperPamRotation -Record "My PAM User" -Config "AWS Config" -Resource "My Server" -OnDemand
Selected 1 PAM record(s) for rotation

The following record(s) will be updated:
Record UID              Record Title                 Enabled  Configuration UID       Resource UID            Schedule   Complexity                                 
----------------------  ---------------------------  -------  ----------------------  ----------------------  ---------  -------------------------------------------
cGsnAAsbsgayOhZJzV83zeQ  Gate1 - MySQL Rotation User  X        8i8quwtfQaY3f_cyy_--w  TmBY8772ataddJ7BgO978nw  On-Demand  20,4,4,4,4,!@#$%^?();',.=+[]<>{}-_/\*&:"`~|


Do you want to update password rotation? [Y/n]: y

PS >

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Script listコマンド

PAMレコードに紐づくローテーション後スクリプトの一覧を表示するコマンドです。

DotNet CLI

コマンド: pam-rotation script list

別名: pam-rot script list / pam-rot script l

パラメーター:

パラメーター	説明
--pattern	レコードのUIDまたはタイトルによる絞り込み
--record, -r	--pattern と同じ (レコードによる絞り込み)
<filter> (位置引数)	レコードのUID/タイトルによる絞り込み

例:

My Vault> pam-rotation script list                                                                                                                                                        
Record UID              Title                     Record Type  Script UID              Script Name  Records  Command                    
----------------------  ------------------------  -----------  ----------------------  -----------  -------  ---------------------------
qdWnshsutT6khktOWSFJng  Gate1 - MySQL Admin User  pamUser      BK3wndhuSeSk1BUNwI7r_g  rotate.ps1            powershell -File rotate.ps1

DotNet SDK

関数:

foreach (var keeperRecord in vault.KeeperRecords.OfType<TypedRecord>())
{
    var fields = keeperRecord.Fields
        .OfType<TypedField<FieldScript>>()
        .Where(f =>
            string.Equals(f.FieldName, "script", StringComparison.Ordinal)
            || string.Equals(f.FieldLabel, "rotationScripts", StringComparison.Ordinal));
    foreach (var field in fields)
    {
        foreach (var script in field.Values.Where(s => !string.IsNullOrEmpty(s?.FileRef)))
        {
            Console.WriteLine($"{keeperRecord.Uid} | {script.FileRef} | {script.Command}");
        }
    }
}

Power Commander

コマンド: Get-KeeperPamRotationScript

別名: pam-rotation-script-list / pam-rot-script-list

パラメーター:

パラメーター	説明
-Pattern	レコードのUIDまたはタイトルによる絞り込み
-Record, -r	-Pattern と同じ

例:

PS > Get-KeeperPamRotationScript
Record UID              Title                     Record Type  Script UID              Script Name  Records  Command                    
----------------------  ------------------------  -----------  ----------------------  -----------  -------  ---------------------------
qdWnshsutT6khktOWSFJng  Gate1 - MySQL Admin User  pamUser      BK3wndhuSeSk1BUNwI7r_g  rotate.ps1            powershell -File rotate.ps1

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Script addコマンド

ローカルのスクリプトファイルをアップロードし、ローテーション後スクリプトとして紐づけるコマンドです。

DotNet CLI

コマンド: pam-rotation script add

別名: pam-rot script add / pam-rot script new / pam-rot script a

パラメーター:

パラメーター	説明
--record, -r / <record> (位置引数)	レコードのUIDまたはタイトル (pamUser / pamDirectory)
--script / <script> (位置引数)	アップロードするローカルスクリプトファイルのパス
--run-command	ローテーション後にスクリプトを実行するコマンドライン
--script-command	--run-command の別名 (値がサブコマンド名でない場合)
--add-credential	紐づけるローテーション認証情報のレコードUID (複数指定可)

例:

My Vault> pam-rotation script add --record "<record-uid>" --script "C:\\Users\\AnanthReddyMandli\\Documents\\GitHub\\Temp\\rotate.ps1" --run-command "powershell -File rotate.ps1"
Script added to record 'Gate1 - MySQL Admin User' (kepo6sqdWT6khktOWSFJng).

DotNet SDK

関数:

var record = (TypedRecord)vault.GetKeeperRecord(recordUid);
// Ensure script field exists
var scriptField = record.Fields
    .OfType<TypedField<FieldScript>>()
    .FirstOrDefault(f =>
        string.Equals(f.FieldName, "script", StringComparison.Ordinal)
        || string.Equals(f.FieldLabel, "rotationScripts", StringComparison.Ordinal));
if (scriptField == null)
{
    scriptField = new TypedField<FieldScript>("script", "rotationScripts");
    record.Fields.Add(scriptField);
}
var facade = new TypedRecordFacade<TypedRecordFileRef>(record);
var preRefs = new HashSet<string>(
    facade.Fields.FileRef?.Values ?? Enumerable.Empty<string>(),
    StringComparer.Ordinal);
using (var uploadTask = new FileAttachmentUploadTask(filePath, isScript: true))
{
    await vault.UploadAttachment(record, uploadTask);
}
var postRefs = new HashSet<string>(
    facade.Fields.FileRef?.Values ?? Enumerable.Empty<string>(),
    StringComparer.Ordinal);
var newUids = postRefs.Except(preRefs).ToList();
if (newUids.Count != 1)
{
    throw new InvalidOperationException(
        "Failed to determine uploaded script file UID. Only the record owner can attach post-rotation scripts.");
}
// Move file out of generic fileRef into script field
facade.Fields.FileRef?.Values.Remove(newUids[0]);
scriptField.Values.Add(new FieldScript
{
    FileRef = newUids[0],
    Command = "powershell -File rotate.ps1",
    RecordRef = new[] { credentialUid },
});
await vault.UpdateRecord(record);

Power Commander

コマンド: Add-KeeperPamRotationScript

別名: pam-rotation-script-add / pam-rot-script-add

パラメーター:

パラメーター	説明
-Record, -r / 位置引数	レコードのUIDまたはタイトル
-RecordUid	レコードUIDの別名
-Script / 位置引数	ローカルスクリプトファイルのパス
-RunCommand	ローテーション後に実行するコマンドライン
-ScriptCommand	-RunCommand の別名
-AddCredential, -ac	紐づける認証情報レコードのUID (複数指定可)

例:

PS > Add-KeeperPamRotationScript -Record <UID> -Script "C:\scripts\rotate.ps1" -RunCommand "powershell -File rotate.ps1"
Script added to record 'Gate1 - MySQL Admin User' (kepo6sqdWT6khktOWSFJng).

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Script editコマンド

PAMレコードに設定済みのローテーション後スクリプトを更新するコマンドです。

DotNet CLI

コマンド: pam-rotation script edit

別名: pam-rot script edit / pam-rot script e

パラメーター:

パラメーター	説明
--record, -r / <record> (位置引数)	レコードのUIDまたはタイトル
--script / <script> (位置引数)	更新するスクリプトファイルのUIDまたは名前
--run-command	スクリプトを実行する新しいコマンドライン
--script-command	--run-command の別名
--add-credential	紐づける認証情報レコードのUID (複数指定可)
--remove-credential	紐づけを解除する認証情報レコードのUID (複数指定可)

例:

My Vault> pam-rotation script edit --record kepo6smju76qdWT6khktOWSFJng --script rotate.ps1 --run-command "powershell -File rotate.ps1"
Script updated on record 'Gate1 - MySQL Admin User' (kepo6smju76qdWT6khktOWSFJng ).
Command: powershell -File rotate.ps1

DotNet SDK

関数:

var record = (TypedRecord)vault.GetKeeperRecord(recordUid);
var scriptField = record.Fields
    .OfType<TypedField<FieldScript>>()
    .FirstOrDefault(f =>
        string.Equals(f.FieldName, "script", StringComparison.Ordinal)
        || string.Equals(f.FieldLabel, "rotationScripts", StringComparison.Ordinal));

FieldScript scriptValue = null;
foreach (var script in scriptField.Values)
{
    if (string.Equals(script.FileRef, scriptUidOrName, StringComparison.OrdinalIgnoreCase))
    {
        scriptValue = script;
        break;
    }

    if (vault.TryGetKeeperRecord(script.FileRef, out var fileKeeper)
        && fileKeeper is FileRecord fileRecord
        && (string.Equals(fileRecord.Title, scriptUidOrName, StringComparison.OrdinalIgnoreCase)
            || string.Equals(fileRecord.Name, scriptUidOrName, StringComparison.OrdinalIgnoreCase)))
    {
        scriptValue = script;
        break;
    }
}

var refs = new HashSet<string>(scriptValue.RecordRef ?? Array.Empty<string>(), StringComparer.Ordinal);
refs.Remove(credentialUidToRemove);
refs.Add(credentialUidToAdd);
scriptValue.RecordRef = refs.ToArray();
scriptValue.Command = "powershell -File rotate_v2.ps1";

await vault.UpdateRecord(record);

Power Commander

コマンド: Set-KeeperPamRotationScript

別名: pam-rotation-script-edit / pam-rot-script-edit

パラメーター:

パラメーター	説明
-Record, -r / 位置引数	レコードのUIDまたはタイトル
-RecordUid	レコードUIDの別名
-Script / 位置引数	スクリプトファイルのUIDまたは名前
-RunCommand	実行する新しいコマンドライン
-ScriptCommand	-RunCommand の別名
-AddCredential, -ac	紐づける認証情報レコードのUID (複数指定可)
-RemoveCredential, -rc	紐づけを解除する認証情報レコードのUID (複数指定可)

例:

PS > Set-KeeperPamRotationScript -Record <UID> -Script rotate.ps1 -RunCommand "powershell -File rotate.ps1"
Script updated on record 'Gate1 - MySQL Admin User' (kepo6smju76qdWT6khktOWSFJng ).
Command: powershell -File rotate.ps1

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開

Rotation Script deleteコマンド

PAMレコードからローテーション後スクリプトを削除するコマンドです。

DotNet CLI

コマンド: pam-rotation script delete

別名: pam-rot script delete / pam-rot script d

パラメーター:

パラメーター	説明
--record, -r / <record> (位置引数)	レコードのUIDまたはタイトル
--script / <script> (位置引数)	削除するスクリプトファイルのUIDまたは名前

例:

My Vault>  pam-rotation script delete --record kepo6sq145uydWT6khktOWSFJng --script rotate.ps1
Script removed from record 'Gate1 - MySQL Admin User' (kepo6sq145uydWT6khktOWSFJng ).

DotNet SDK

関数:

var record = (TypedRecord)vault.GetKeeperRecord(recordUid);
var scriptField = record.Fields
    .OfType<TypedField<FieldScript>>()
    .FirstOrDefault(f =>
        string.Equals(f.FieldName, "script", StringComparison.Ordinal)
        || string.Equals(f.FieldLabel, "rotationScripts", StringComparison.Ordinal));

var scriptValue = scriptField.Values
    .FirstOrDefault(s => string.Equals(s.FileRef, scriptUid, StringComparison.OrdinalIgnoreCase));

scriptField.Values.Remove(scriptValue);
await vault.UpdateRecord(record);

Power Commander

コマンド: Remove-KeeperPamRotationScript

別名: pam-rotation-script-delete / pam-rot-script-delete

パラメーター:

パラメーター	説明
-Record, -r / 位置引数	レコードのUIDまたはタイトル
-RecordUid	レコードUIDの別名
-Script / 位置引数	スクリプトファイルのUIDまたは名前

例:

PS >  Remove-KeeperPamRotationScript -Record <UID> -Script rotate.ps1
Script removed from record 'Gate1 - MySQL Admin User' (kepo6sq14snaha5uydWT6khktOWSFJng ).

Python CLI

コマンド: 近日公開

Python SDK

コマンド: 近日公開