> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/deployment.md).
# デプロイメント (展開)
エンドポイント特権マネージャーのデプロイは非常に簡単です。管理者は、エンドポイントのコレクションに関連付けられたカスタムデプロイメントパッケージを作成し、Keeperエージェントをそれらのエンドポイントに配布します。エージェントは起動時にKeeperテナントへ自動登録し、実行ファイルやローカルユーザーアカウントなど、エンドポイントに関する基本情報の収集を開始します。デフォルトでは、Keeperエージェントは「監視」モードで動作し、実際の操作は行いません。
### 大きく分けて、以下の2点です。
1. **Keeper管理コンソールでデプロイメントパッケージを作成する**
2. **エンドポイントにエージェントをインストールして登録する**
これが完了すると、デバイスはポリシーを受け取り、アクティビティを報告できるようになります。
## コアとなるデプロイの流れ
すべてのデプロイ方法で、手順は同じです。
1. デプロイメントパッケージを作成する
2. エージェントをインストールする
3. エンドポイントを登録する
4. コレクションに割り当てる
5. デプロイを検証する
### 要件
* **macOS**: Sequoia、Sonoma
* **Linux**: Ubuntu 22.04以上
* **Windows**: Windows 11、Windows Server 2022および2025 (Intel x64のみ)
{% hint style="danger" %}
Keeperエンドポイント特権マネージャー (EPM) は、Windowsドメインコントローラーには**インストールできません**。インストーラーはドメインコントローラー上でのインストールを拒否し、以下のエラーが表示されます。
*"This software cannot be installed on a Domain Controller."*
ドメインコントローラーはActive Directory環境で特化した役割を担うため、EPMエージェントの対象エンドポイントにはなりません。ドメイン全体の特権ポリシーを管理する場合は、ドメインコントローラー自体ではなく、メンバーワークステーションおよびサーバーにEPMエージェントをインストールしてください。
{% endhint %}
{% hint style="warning" %}
ユーザーおよびグループのコレクションを対象とするEPMポリシーは、ADまたはEntra IDの同期が正しく機能していることが前提です。 `epm scim` コマンドを使用する前に、Keeper管理コンソールでActive Directory連携を構成する必要があります。連携が未構成の場合、コレクションが不完全になり、ポリシー適用も想定どおりに機能しません。\
\
詳しくは[こちらのページ](/keeperpam/jp/commander-cli/command-reference/endpoint-privilege-manager-commands.md)をご参照ください。
{% endhint %}
### 暗号化
KeeperエージェントとKeeper管理コンソール間のすべての通信は、エンドツーエンドの暗号化とゼロ知識アーキテクチャを使用しています。Keeperのサーバーおよび従業員は、エンドポイントに関する情報を復号化できません。管理コンソールにログインしたKeeper管理者のみが、エンドポイントコレクションと関連メタデータを復号化できます。
### デプロイメントパッケージ
**\[エンドポイント特権マネージャー]** > **\[展開]** 画面から **\[新しい展開パッケージ]** を選択します。Keeperエージェントは、Windows、macOS、Linuxの各エンドポイントへ展開できます。インストールにはローカル管理者権限が必要です。リモート管理ソリューションやグループポリシーによる自動導入では、提供されたコマンドライン文字列を使い、インストーラーをサイレントモードで配布します。
### デプロイメントコレクション
デプロイメントパッケージを作成する際に割り当てるコレクション名は、特権マネージャー内でポリシーを適用する際に参照します。コレクション名は、通常、共通のプラットフォームや用途を共有するユーザーのグループを指します。
### エージェントのデプロイ
管理コンソールのUIからインストーラーのZIPファイルをコピーし、ローカルマシンにダウンロードします。ZIPファイルを解凍し、各プラットフォーム用のパッケージを展開します。インストーラーコマンドで使用するデプロイトークンをコピーします。有効なデプロイトークンがないと、Keeperエージェントをテナントに登録できません。
{% hint style="danger" %}
本番システムに直接インストールする前に、必ずサンドボックスまたは非本番テスト環境でKeeperエージェントを検証してください。
{% endhint %}
構成および使用方法について詳しくは、[コマンドラインポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/command-line-policy-type.md)をご参照ください。
* ユーザーが新しいログインセッションを開始すると、Keeperエージェントが起動します。ログアウトおよび再ログインが必要になる場合があります。
* `sudo` ポリシー制御について詳しくは、[コマンドラインポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/command-line-policy-type.md)をご参照ください。
* パッケージ (.pkg) およびディスクイメージ (.dmg) のインストールでは、ユーザーがKeeperエージェントのUIから明示的にリクエストを開く必要があります。
### インベントリデータの検出
#### インベントリ収集スケジュール
**Basic (inventory-basic / InventoryBasic):** 7200分ごと(5日)に実行。AgentRegisteredおよびStartup時にも実行\
**User (user-inventory / UserInventory):** 7200分ごと(5日)に実行。AgentRegisteredおよびStartup時にも実行\
**Application (file-inventory / FileInventory):** 7200分ごと(5日)に実行。Startup時のみ追加実行 (AgentRegisteredトリガーなし)
#### **詳細**
**スケジュール:** いずれも同じ間隔 (intervalMinutes: 7200 (120時間＝5日))。\
BasicおよびUserは以下のタイミングでも実行します。\
**AgentRegistered:** エージェントがバックエンドに登録されたとき\
**Startup:** エージェントが起動したとき\
Application (ファイルインベントリ) は同じ5日間隔およびStartup時のみ実行し、AgentRegisteredトリガーはありません。User、Application、Basicはいずれも5日 (7200分) スケジュールで実行されます。BasicとUserは、エージェントの登録および起動時にも追加で実行されます。
エージェントをエンドポイントにインストールして展開すると、エンドポイント上で以下の3種類の検出を行います。
* **基本インベントリ**: オペレーティングシステム、バージョン、種類
* **アカウントインベントリ**: ローカルユーザーおよびグループ
* **ファイルインベントリ**: システム上のすべての実行ファイル
Keeper管理コンソールへ、検出されたインベントリを**暗号化されたテレメトリデータ**として送信します。これには、以下のようなエンドポイント情報が含まれます。
* コンピュータ名およびタイプ
* OS情報 (Windows、macOS、Linux) およびバージョン
* ローカルユーザーアカウント情報
* ローカルグループアカウント情報
* インストールされたアプリケーション
{% hint style="info" %}
Keeperを導入する際は、まず**リファレンスマシンにエージェントをインストール**して、できるだけ標準化されたインベントリデータを収集してから、全体のデバイス群への展開を行うことをおすすめします。
{% endhint %}
**\[展開]** 画面では、コレクションごとに整理されたエンドポイントの統計情報が表示されます。
コレクションはダッシュボードから有効または無効にできます。コレクションを無効にすると、ポリシーエンジンはそれらのデバイスにポリシーを適用しなくなります。個々のエンドポイントも無効にでき、エージェントによるポリシー適用を防げます。
### コマンダーを使用した自動化処理
Keeperコマンダーでは、コマンドラインインターフェイス、サービスモード[REST API](/keeperpam/jp/commander-cli/service-mode-rest-api.md)、および Python SDK によるデプロイの自動化が可能です。エンドポイント特権マネージャーのコマンドについて詳しくは、[エンドポイント特権マネージャーコマンド](/keeperpam/jp/commander-cli/command-reference/endpoint-privilege-manager-commands.md)をご参照ください。
#### エージェント管理
`epm agent` コマンドで、エンドポイント上の個々のエージェントを管理できます。
```
My Vault> epm agent -h
pedm command [--options]
Command Description
---------- -------------------------
list List EPM agents
edit Update EPM agents
delete Delete EPM agents
collection List EPM agent resources
```
#### デプロイメント
`epm deployment` コマンドで、エージェントのデプロイメントを管理できます。
```
My Vault> epm deployment -h
pedm command [--options]
Command Description
--------- --------------------------------
list List EPM deployments
add Add EPM deployments
update Update EPM deployment
delete Delete EPM deployment
download Download EPM deployment package
```
#### レポート
`epm report` コマンドで、イベントログおよびイベントレポートを取得できます。
```
My Vault> epm report -h
pedm command [--options]
Command Description
--------- -----------------------------
column Run column reports
event Run audit event reports
summary Run audit summary reports
```
## アンチウイルス / EDR 除外要件
サードパーティのアンチウイルスまたはEDRと Keeperエンドポイント特権マネージャーを併用して展開する場合、エンドポイント特権マネージャーのインストールディレクトリをリアルタイムスキャンから除外してください。これにより性能の低下を防ぎ、ポリシー評価、プロセスのインターセプト、特権昇格のワークフローへの干渉を避けられます。
### 必須の除外パス
```
C:\Program Files\Keeper Security\Endpoint Privilege Manager\Plugins\bin\KeeperUSession
```
### 製品別の手順
**Microsoft Defender**\
管理者権限の PowerShell で実行します。
```
Add-MpPreference -ExclusionPath 'C:\Program Files\Keeper Security\Endpoint Privilege Manager'
```
**CrowdStrike Falcon**\
Falcon Console → Endpoint Security → Configure → Exclusions → Add folder path (include subfolders)\
\
**SentinelOne**\
Management Console → Sentinels → Exclusions → Add Path Exclusion\
Mode: Interoperability – Extended (include subfolders)\
\
**Sophos Central**\
Global Settings → Global Exclusions → Add Exclusion → File or Folder (Windows)\
Apply to real‑time and scheduled scanning
エンドポイントで CallerCheck アラートが発生する場合は、イベント固有のサムプリントを指定して除外できます。\
Global Settings → Global Exclusions → Add Exclusion → Detected Exploits (Windows/Mac) → `` (マシン間では同一だが、Sophos アカウントごとに固有)。\
\
**Symantec/Broadcom SEP**\
SEPM Console → Policies → Exceptions → Add Windows Exception → Folder (include subfolders)\
\
**Trend Micro Apex One**\
Apex Central またはローカルコンソール → Scan Exclusion List → Add directory
### GPO による展開 (Microsoft Defender)
```
Computer Configuration
→ Administrative Templates
→ Windows Components
→ Microsoft Defender Antivirus
→ Exclusions → Path Exclusions
```
**追加:** *C:\Program Files\Keeper Security\Endpoint Privilege Manager* **を登録し、値は0とします。**
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/deployment.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.