KeeperUserSession一時アカウント
Keeperエンドポイント特権マネージャー (Keeper EPM) では、KeeperUserSessionというKeeper管理のローカル管理者アカウントを使って特権昇格を行います。このアカウントはエンドポイント上のKeeper EPMサービスが作成・制御し、要求ユーザーに代わって昇格プロセスを起動するためだけに使います。認証情報はエンドユーザーには公開されません。
本ページでは、アカウントのライフサイクル、Keeper EPMが生成するパスワード、MDM管理者がローカルパスワードポリシーとKeeper EPMの生成仕様を調整する際の要件を取り扱います。
アカウントの用途
昇格が承認され、必要なコントロールをすべて満たした場合、要求ユーザー自身のアカウントに昇格権限を付与するのではなく、KeeperUserSessionアカウントで対象プロセスを起動します。常時の管理者権限を持たせずに、ジャストインタイムの昇格を実現します。
Windows: KeeperUserSessionの認証情報を使い、
ProcessStartInfo経由で昇格プロセスを起動macOS: Keeper EPM認可プラグイン経由で、
authdにKeeperUserSessionの認証情報を渡すLinux: KeeperUserSessionアカウントにスコープした一時的なsudoersエントリで承認済みコマンドの昇格を許可し、その後削除
このアカウントは、プラットフォームの管理者グループ (Administrators (Windows)、admin (macOS)、sudo / wheel (Linux)) のメンバーです。そのため、OSは特権操作の主体として受け入れます。
アカウントのライフサイクル
デフォルトでは、KeeperUserSessionは起動時に作成し、停止時に削除する流れです。
イベント
デフォルトの動作 (MaintainKeeperAccount = false)
Keeper EPMサービス開始
既存のKeeperUserSessionアカウントがあれば削除し、新たに生成したパスワードで作成
Keeper EPMサービス停止
KeeperUserSessionアカウントを削除
Keeper EPMサービスがクラッシュ
孤立したアカウントは次回起動時にクリーンアップ
昇格の実行
プラットフォームの挙動に応じて、使用前または使用後にパスワードをローテーションする場合あり
SIDの安定性が重要なハイブリッドAzure AD、Intune、AD同期環境では、MaintainKeeperAccount を有効にして再起動をまたいでアカウントを保持できます。有効にするタイミングについては、MaintainKeeperAccount構成ガイドをご参照ください。
パスワード生成
Keeper EPMは、エンドポイント上の暗号学的に安全な乱数生成器でKeeperUserSessionのパスワードを生成します。パスワードは平文で送信されず、ログにも残らず、エンドユーザーにも表示されません。
生成仕様
長さ
40文字 (36文字のGUID文字列 + 4文字の固定サフィックス)
大文字
あり。GUIDの16進文字 (A–F) およびサフィックスの K を含む
小文字
あり。GUIDの16進文字 (a–f) およびサフィックスの g を含む
数字
あり。GUIDの数字およびサフィックスの 1 を含む
特殊文字
あり。GUIDのハイフン (-) およびサフィックスの $
暗号ソース
Guid.NewGuid() (CLR CSPRNG)
パスワードの保存と取り扱い
プラットフォームにかかわらず、KeeperUserSessionのパスワードは一時的な秘密情報として扱います。
Windows: DPAPI (Data Protection API) とハードウェア対応のキー保管により、保存時に保護
Linux / macOS:
SecurePasswordManagerで保護メモリに保持し、chpasswd/dsclへ標準入力で渡す (コマンドラインには載せない)。使用直後にメモリから消去転送中 (全プラットフォーム): 昇格ごとのチャネル経由で昇格機構へ渡す。ディスクへ書き込まず、ログにも記録せず、監査イベントのペイロードにも含めない
エンドユーザーやほかの管理者が取得できる場所には、パスワードを永続化しません。KeeperUserSessionのパスワードを表示または回復する公式な手段はありません。サービス再起動のたびに再生成します (MaintainKeeperAccount = true の場合は、各ローテーション時に再生成します)。
ローカルパスワードポリシーとの関係
Keeper EPMがKeeperUserSessionのパスワードを設定またはローテーションするとき、エンドポイント自身のパスワードポリシーがOSによって適用されます。MDM、グループポリシー、pwpolicy、PAM構成がローカルユーザーアカウントに適用するポリシーは、KeeperUserSessionにも適用されます。
ローカルパスワードポリシーがKeeper EPMの生成内容より厳しい場合、アカウント作成またはパスワードローテーションは失敗し、昇格はユーザー自身の認証情報の入力を求める動作にフォールバックします。これは想定どおりの失敗モードです。プロビジョニング失敗時にKeeper EPMが黙って昇格を許可することはありません。ただし、ジャストインタイム昇格モデルとしては機能しません。
確認すべき一般的なローカルポリシー規則
Keeper EPMが稼働するエンドポイントに適用する前に、以下をKeeper EPMの生成仕様と照合してください。
最小長: Keeper EPMが生成する長さ以下であること
最大長: Keeper EPMが生成する長さ以上であること
必須の文字種: 各必須文字種をKeeper EPMが少なくとも1文字生成できること
禁止文字: Keeper EPMの文字プールのいずれも禁止リストに含まれていないこと
連続する同一文字: 回避は保証されません。GUIDベースの生成器にそのような保証はなく、重複排除処理も行いません
連続文字 (abc、123): 回避は保証されません。連続パターンのフィルタリングは行いません
辞書 / 一般的なパスワードのチェック: 暗号学的にランダムなパスワードは通常これらの要件を満たしますが、エントロピーヒューリスティクスで拒否しないことを確認してください
パスワード履歴 / 直近N件の回避: 履歴追跡はありません。各ローテーションは独立して
Guid.NewGuid()を呼び出します。以前のパスワードは保存も比較もしませんパスワードの最小有効期間: Keeper EPMのローテーション周期と競合する場合があります。サービスの再起動時はアカウントを削除して再作成するため、この規則を回避します
ポリシー競合の調整
ローカルパスワードポリシーとKeeper EPMの生成仕様の間に競合がある場合は、以下を検討してください。
推奨: ローカルポリシーをKeeper EPMの生成仕様に合わせて調整する (Keeper EPMのパスワードは暗号学的に強く、個別規則に抵触しても多くのポリシーの意図は満たします)
代替: KeeperUserSessionアカウントを制限の厳しいポリシーから除外する。多くのパスワードポリシーエンジンはアカウント単位またはグループ単位の除外に対応しています
非推奨: ポリシーを全体で緩和する
エンドポイント上でのアカウント確認
KeeperUserSessionアカウントは通常のローカルユーザーアカウントであり、プラットフォーム標準のツールで確認できます。
Windows
macOS
Linux
設計上、これらのツールではパスワード自体は読み取れません。
トラブルシューティング
症状: 昇格は成功するが、ユーザー自身のパスワード入力を求められる
原因: KeeperUserSessionアカウントは存在するが、PAM / authdがそのパスワードを拒否しました。通常は、設定時点でKeeper EPMが生成したパスワードがローカルパスワードポリシーに違反し、古いまたは空のパスワードでアカウントが作成されたことを意味します。
診断: サービス開始直後のKeeper EPMサービスログで、EPHEMERAL_ACCOUNT_PASSWORD_SET_FAILED またはプラットフォーム固有の認証情報設定エラーを確認します。
対処: ローカルパスワードポリシーをKeeper EPMの生成仕様と合わせて調整します。
症状: アカウントがまったく作成されない
原因: Keeper EPMサービスがアカウント作成コマンドの呼び出しに失敗したか、OSがユーザー名を拒否しました。非常にまれで、通常は名前の衝突 (既存のアカウントまたはグループ名が KeeperUserSession) か、ローカルアカウント作成自体を禁止するポリシー (一部の強化済みMDMプロファイル) が原因です。
診断: Keeper EPMサービスログで EPHEMERAL_ACCOUNT_CREATE_FAILED を確認します。
対処: 競合する KeeperUserSession オブジェクトがあれば削除し、MDMがローカルアカウント作成をブロックしていないことを確認します。
症状: 孤立したKeeperUserSessionプロファイルフォルダが蓄積する (Windows)
原因: Windowsでは、アカウントの削除と再作成により C:\Users\KeeperUserSession.* 配下にプロファイルフォルダが残ります。デフォルト (非永続) 構成では想定どおりの動作です。
対処: Keeper EPMはサービス起動時に孤立したプロファイルフォルダを自動クリーンアップします。クリーンアップが行われない場合は、サービスがSYSTEMとして実行され、C:\Users を変更する権限があることを確認してください。プロファイルフォルダの蓄積を避けたい環境では、MaintainKeeperAccount = true を有効にすると、この入れ替わり自体を解消できます。
セキュリティ上の考慮事項
KeeperUserSessionアカウントは、設計上・必要性としてローカル管理者です。そうでないと、OSが特権操作を受け付けません
MaintainKeeperAccount = trueの場合、サービス停止後もローカル管理者アカウントが残ります。アンインストール手順で確実に削除してくださいmacOSではOpenDirectory経由で
IsHiddenとして作成し、ログインウィンドウおよびシステム設定のユーザー一覧から除外します。Windowsでは通常のローカルアカウントであり、lusrmgr.mscに表示されますパスワードはほかのKeeperサービスと共有されず、Keeperボルトへ同期されず、Keeperサポートでも取得できません
最終更新