> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/deployment/deployment-reference/maintainkeeperaccount-configuration.md).

# MaintainKeeperAccount構成

`MaintainKeeperAccount` 設定は、KeeperUserSession一時管理者アカウントをKeeper EPMサービスの再起動をまたいで保持するかどうかを制御します。主に、特定のID管理要件があるWindows環境向けです。ハイブリッドAzure AD (Microsoft Entra ID) とIntuneの組み合わせや、ローカルアカウントの入れ替わりが後続処理に問題を起こす環境などが該当します。

デフォルトでは無効で、Keeper EPMはサービス再起動のたびにKeeperUserSessionアカウントを削除して再作成します。ほとんどの展開ではこれが適切な動作です。アカウントの入れ替わりが実際に問題となっている場合にのみ有効にしてください。

アカウント自体の背景については、[KeeperUserSession一時アカウント](/keeperpam/jp/endpoint-privilege-manager/deployment/deployment-reference/keeperusersession-ephemeral-account.md)をご参照ください。

### 構成 <a href="#configuration" id="configuration"></a>

設定はKeeper EPMサービスの `appsettings.json` の `Settings` セクションにあります。

```json
{
  "Settings": {
    "MaintainKeeperAccount": false
  }
}
```

<table><thead><tr><th width="212.3333740234375">設定</th><th width="92">型</th><th width="97">デフォルト</th><th>説明</th></tr></thead><tbody><tr><td><code>MaintainKeeperAccount</code></td><td>boolean</td><td><code>false</code></td><td><code>true</code> の場合、KeeperUserSessionアカウントは削除・再作成されず、サービス再起動をまたいで保持</td></tr></tbody></table>

**適用対象:** Windows。macOSおよびLinuxでは効果がありません。

**再起動が必要:** 設定はサービスの起動時とシャットダウン時に読み込まれます。変更は次回のサービス再起動サイクルで反映されます。

**推奨される展開方法:** 各エンドポイントで `appsettings.json` を直接編集するのではなく、中央のSettingsUpdateポリシーから設定を配布します。ポリシーによる構成のパターンについては、[ポリシーベースのエージェント設定コントロール](/keeperpam/jp/endpoint-privilege-manager/policies/policy-examples/advanced-examples/policy-create-a-policy-to-set-settings.md)をご参照ください。

### 有効にする場合 <a href="#when-to-enable" id="when-to-enable"></a>

#### 有効にするケース <a href="#enable-when" id="enable-when"></a>

**ハイブリッドAzure AD + Intune環境**

Azure AD Connectは、ドメイン参加済みまたはハイブリッド参加済みのエンドポイント上のローカルアカウントを同期する場合があります。Keeper EPMがサービス再起動のたびにKeeperUserSessionを削除・再作成すると、Azure ADは継続的なアカウントの入れ替わりを検出します。同じアカウント名でもSIDが毎回異なります。以下のような症状が出ることがあります。

* Azure AD同期の遅延またはバックログ
* KeeperUserSessionのSIDを参照するIntuneポリシーが、再起動のたびに対象を失う
* 予期しないローカルアカウント活動によるコンプライアンスアラート

**同期が積極的なActive Directory環境**

アカウント変更が後続の同期イベント、外部プロセス実行、監査アラートを引き起こすAD環境では、入れ替わりの多いアカウントより安定したアカウントのほうが適しています。

**パフォーマンスを重視する展開**

アカウント作成にはSAMデータベースへの書き込みが伴います。SAM操作が遅いシステムや、サービス再起動時間の最小化が重要な場合、アカウントを保持すると起動時の作成コストを避けられます。

#### 無効のままにするケース (デフォルト) <a href="#keep-disabled-by-default-when" id="keep-disabled-by-default-when"></a>

**標準的な展開**

ほとんどのWindows展開 (スタンドアロンのワークステーション、Azure ADハイブリッド参加のないドメイン参加システム、同期感度のない環境など) ではデフォルトのままにしてください。再起動ごとに新しい認証情報になるほうが、セキュリティ上望ましい構成です。

**最大限のセキュリティ要件**

再起動ごとに新しい認証情報を求める環境や、永続するローカル管理者アカウントを監査上の指摘とする環境では、デフォルトのままにしてください。

**テストおよび開発**

再起動のたびにクリーンな状態になるほうが、問題の再現が容易です。

### 動作の比較 <a href="#behavior-comparison" id="behavior-comparison"></a>

#### デフォルト: `MaintainKeeperAccount = false` <a href="#default-maintainkeeperaccount-false" id="default-maintainkeeperaccount-false"></a>

<table><thead><tr><th width="150.666748046875">イベント</th><th>動作</th></tr></thead><tbody><tr><td>サービス開始</td><td>既存のKeeperUserSessionアカウントがあれば削除し、新たに生成したパスワードで作成</td></tr><tr><td>サービス停止</td><td>KeeperUserSessionアカウントを削除</td></tr><tr><td>サービスがクラッシュ</td><td>孤立したアカウントは次回起動時にクリーンアップ</td></tr><tr><td>プロファイルフォルダ</td><td>孤立した <code>C:\Users\KeeperUserSession.*</code> フォルダをプロファイルフォルダクリーンアップジョブが削除</td></tr></tbody></table>

**利点:** 再起動ごとに新しい認証情報。サービス停止中は永続するローカル管理者アカウントがない。セキュリティ上望ましい構成。

#### 有効: `MaintainKeeperAccount = true` <a href="#enabled-maintainkeeperaccount-true" id="enabled-maintainkeeperaccount-true"></a>

<table><thead><tr><th width="166.6666259765625">イベント</th><th>動作</th></tr></thead><tbody><tr><td>サービス開始</td><td>既存のKeeperUserSessionアカウントを再利用 (パスワードはローテーション)</td></tr><tr><td>サービス停止</td><td>KeeperUserSessionアカウントを保持</td></tr><tr><td>サービスがクラッシュ</td><td>アカウントは残存し、再起動時に再利用</td></tr><tr><td>プロファイルフォルダ</td><td>孤立したプロファイルフォルダは引き続きクリーンアップ (生成数は大幅に減少)</td></tr></tbody></table>

**利点:** 起動が速い (削除/作成サイクルなし)。Azure AD同期およびIntuneポリシーのターゲット向けに安定したアカウントSID。同期の入れ替わりがない。

### セキュリティ上の考慮事項 <a href="#security-considerations" id="security-considerations"></a>

KeeperUserSessionのパスワードは暗号学的に生成され、WindowsではDPAPIで保存時に保護され、サービス再起動ごと (アカウントが永続の場合は各昇格時) にローテーションされ、エンドユーザーやログには公開されません。パスワードの生成と取り扱いについて詳しくは、[KeeperUserSession一時アカウント](/keeperpam/jp/endpoint-privilege-manager/deployment/deployment-reference/keeperusersession-ephemeral-account.md)をご参照ください。

`MaintainKeeperAccount = true` の場合は、さらに以下に注意してください。

* **アカウント永続のリスク:** Keeper EPMサービスが停止しても、エンドポイント上にローカル管理者アカウントが残ります。クリーンアップなしでサービスをアンインストールすると、アカウントが残る場合があります。アンインストール手順にアカウント削除を含めてください。
* **監査:** 定期的なローカル管理者監査にKeeperUserSessionを含めてください。Keeper EPMが開始していない認証試行やプロセス起動を監視します。
* **アクセス制限:** 可能な場合はグループポリシーでアカウントを制限します。対話型ログオンの拒否、ネットワークログオンの拒否、Remote Desktop Services経由のログオンの拒否など。Keeper EPMが必要とするのはローカルプロセス昇格のみです。

### 孤立したプロファイルフォルダ <a href="#orphaned-profile-folders" id="orphaned-profile-folders"></a>

Windowsでは、KeeperUserSessionアカウントの削除と再作成により、`C:\Users` 配下にプロファイルフォルダが残ることがあります。例:

* `C:\Users\KeeperUserSession`
* `C:\Users\KeeperUserSession.12-30-HOSTNAME`
* `C:\Users\KeeperUserSession.12-30-HOSTNAME.000`、`.001`、`.002` など

これらは見た目上の問題であり、Keeper EPMの機能には影響しません。ただし、サービスを頻繁に再起動するエンドポイントではディスク上に蓄積する場合があります。

Keeper EPMは、5分ごとに実行される **ephemeral-orphan-profile-folders-cleanup**スケジュールジョブでこれらを自動クリーンアップします。ジョブは、`C:\Users` 配下で名前が正確に `KeeperUserSession` であるか `KeeperUserSession.` で始まるフォルダを削除し、`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList` 内の対応する `ProfileList` レジストリエントリも削除します。

`MaintainKeeperAccount = true` を有効にすると、これらのフォルダが蓄積する原因となる入れ替わり自体をほぼ解消できます。

### トラブルシューティング <a href="#troubleshooting" id="troubleshooting"></a>

#### MaintainKeeperAccountがtrueなのにアカウントが削除される <a href="#account-is-deleted-despite-maintainkeeperaccount-being-true" id="account-is-deleted-despite-maintainkeeperaccount-being-true"></a>

**診断:** 起動時のKeeper EPMサービスログを確認します。設定が正しく有効な場合、以下のようなログが表示されます。

```
MaintainKeeperAccount is enabled - skipping account deletion on startup (account will be reused)
```

代わりに以下が表示される場合、設定は `false` として読み込まれています。

```
Starting KeeperUserSession ephemeral account cleanup
KeeperUserSession deleted or did not exist
```

**対処:**

1. 設定が `appsettings.json` の `Settings` セクションにあり、別セクションではないことを確認する
2. JSONの構文が正しいことを確認する (構文エラーがあるとファイルの読み込みに失敗し、すべての設定がデフォルトにフォールバックします)
3. Keeper EPMサービスを再起動し、ログを再確認する
4. SettingsUpdateポリシーで設定を配布している場合は、ポリシーが実行され、マージが成功したことを確認する

#### Azure ADがアカウントの追加/削除を頻繁に報告する <a href="#azure-a-d-reports-frequent-account-additions-deletions" id="azure-a-d-reports-frequent-account-additions-deletions"></a>

**原因:** Keeper EPMがサービス再起動のたびにKeeperUserSessionを削除・再作成し、Azure AD Connectが各イベントを同期しています。

**対処:**

1. `MaintainKeeperAccount = true` を有効にする
2. Azure AD Connectの同期スコープにKeeperUserSessionアカウントが含まれないことを確認する (スコープフィルタまたは明示的な除外)
3. 組織ポリシーで許可される場合は、ローカルシステムアカウントを同期から除外することを検討する

#### C:\Usersに孤立したKeeperUserSessionフォルダが蓄積する <a href="#orphaned-keeperusersession-folders-accumulating-in-c-users" id="orphaned-keeperusersession-folders-accumulating-in-c-users"></a>

**原因:** クリーンアップジョブが動作していないか、クリーンアップより速く新しいフォルダが作成されています。

**対処:**

1. Keeper EPMサービスが `SYSTEM` として実行され、`C:\Users` を変更する権限があることを確認する
2. **ephemeral-orphan-profile-folders-cleanup**ジョブが有効でスケジュールされていることを確認する
3. 入れ替わりが根本原因なら、`MaintainKeeperAccount = true` を有効にする
4. 手動クリーンアップの例:

```powershell
# Run as administrator
Get-ChildItem "C:\Users" -Filter "KeeperUserSession*" -Directory | Remove-Item -Recurse -Force
```

残っている場合は、`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList` 配下の対応エントリも削除します。

### 推奨事項 <a href="#recommendations" id="recommendations"></a>

1. **まず環境を評価する:** 有効にする前に、Azure AD同期の入れ替わり、IntuneのSIDターゲット失敗、測定可能な起動遅延が実際に発生していることを確認してください。予防的に有効にしないでください。
2. **有効化したエンドポイントと理由を文書化する:** セキュリティ監査、トラブルシューティング、コンプライアンス報告に役立ちます。
3. **ステージングで検証する:** まず非本番エンドポイントで有効にし、Azure ADまたはIntuneの症状が改善すること、およびセキュリティ監視が想定どおりアカウント活動を引き続き捕捉することを確認してください。
4. **定期的なセキュリティ監査に含める:** アカウントが永続する場合は、KeeperUserSessionを監査対象に含めてください。
5. **SettingsUpdateポリシーで配布する:** 手動の `appsettings.json` 編集ではなく、構成を中央集約し、再現可能に保ちます。


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/deployment/deployment-reference/maintainkeeperaccount-configuration.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.