カスタムツール
対象: KEPM管理エンドポイント上でカスタム実行ファイルを実行する必要がある開発者およびDevOpsエンジニア。
Keeperエンドポイント特権マネージャーはポリシー適用プラットフォームにとどまらず、ツールから拡張して利用できるエージェントでもあります。管理対象エンドポイントにカスタム実行ファイルを配布する必要がある場合 (シークレットスキャナー、コンプライアンスレポートツール、メンテナンスユーティリティなど)、KEPMエージェントがスケジュールに従って実行し、出力を監視し、ログはオペレーターがすでに監視しているのと同じパイプラインへ流れます。
本ページでは、そのツールを最初から最後まで構築して実行する方法を取り扱います。エージェントに何を実行するかを伝えるジョブまたはプラグインのJSONの作成から、構造化ログを送るローカルMQTTブローカーへの接続、ローカルHTTPS API経由でのバイナリのデプロイと登録までを取り上げます。
ツールのパターン
カスタムツールを実行する方法はKEPMで2通りあります。最初に違いを押さえると手戻りが減ります。
ジョブ
ジョブは、多くのカスタムツールに適した選択肢です。ジョブはJSONドキュメントで、_いつ_実行するか (スケジュール、エージェント起動時、特定イベント) と _何を_実行するか (バイナリを指すタスク) を定義します。エージェントがプロセスを起動し、終了コードを追跡し、出力を取り込み、構造化ログ用にMQTTへのアクセスを付与します。ジョブのタスクは常駐プロセスである必要はなく、プラグイン登録も不要です。スキャナーやレポートツールなど、実行して終了するツールを作る場合は、ここから始めます。
プラグイン
管理プラグインは、エージェントのライフサイクルに組み込まれた常駐プロセスが必要な場合に適した選択肢です。エージェントとともに起動され、監視され、失敗時に再起動され、MQTTトピックへの購読を第一級の機能として扱います。ブリッジ、デーモン、その他の永続サービス向けの、より踏み込んだパターンです。
ガイド
カスタムジョブガイドでは、ジョブタスクのバイナリを最初から最後まで構築・デプロイ・構成する手順を取り扱います。バイナリ構成、ジョブJSON、実行コンテキスト、コード署名、MQTTログ、起動前チェックリストを含みます。
カスタムプラグインガイドでは、管理プラグインの登録方法を扱います。プラグインJSONの各フィールド、ライフサイクル設定、MQTT購読、ジョブタスクとの違いを取り上げます。
HTTPリファレンスでは、ツールから呼び出すローカルHTTPS APIのエンドポイントをまとめています。/api/Jobs によるジョブの作成とデプロイ、/api/PluginSettings による実行時設定の読み取り、管理用とプラグイン用の認可階層の違いなどを取り扱います。
Azure Logic AppsやPower Automateでワークフローを自動化する場合は、Azure Logic Appsコネクターをご参照ください。Keeperシークレットマネージャーとの接続手順を取り扱います。
始める前に
ツールの開発またはテストに着手する前に、KEPMデプロイを管理しているチームから以下の情報を確認してください。
対象エンドポイントで動作しているエージェントのバージョン (検証ルールや利用可能な機能はリリースごとに異なります)。
ローカルHTTPS API用の
KeeperApiBaseUrl(多くの場合https://127.0.0.1:6889ですが、管理者に確認してください)。Last Known Good (
ConfigurationLkg) が有効かどうか。有効な場合、エンドポイントへのジョブJSONファイルのデプロイ方法に影響します。バイナリがMQTTへパブリッシュする必要がある場合、コード署名証明書を信頼するために
AlternativeSignaturesを更新する必要があるか、ユースケースにAllowedNonAdminExecutablesが当てはまるか。ジョブ定義をエンドポイントへ配布するデプロイ方法 (ローカルHTTPS API、Keeperコンソール経由の
JobUpdateポリシー、その他の利用可能な経路)。
多くのカスタムツールでは、カスタムジョブガイドが出発点として適しています。デプロイのスクリプト化や実行時にバイナリからプラグイン設定を呼び出す準備ができたら、HTTPリファレンスをあわせてご参照ください。
最終更新