MaintainKeeperAccount構成
MaintainKeeperAccount 設定は、KeeperUserSession一時管理者アカウントをKeeper EPMサービスの再起動をまたいで保持するかどうかを制御します。主に、特定のID管理要件があるWindows環境向けです。ハイブリッドAzure AD (Microsoft Entra ID) とIntuneの組み合わせや、ローカルアカウントの入れ替わりが後続処理に問題を起こす環境などが該当します。
デフォルトでは無効で、Keeper EPMはサービス再起動のたびにKeeperUserSessionアカウントを削除して再作成します。ほとんどの展開ではこれが適切な動作です。アカウントの入れ替わりが実際に問題となっている場合にのみ有効にしてください。
アカウント自体の背景については、KeeperUserSession一時アカウントをご参照ください。
構成
設定はKeeper EPMサービスの appsettings.json の Settings セクションにあります。
{
"Settings": {
"MaintainKeeperAccount": false
}
}MaintainKeeperAccount
boolean
false
true の場合、KeeperUserSessionアカウントは削除・再作成されず、サービス再起動をまたいで保持
適用対象: Windows。macOSおよびLinuxでは効果がありません。
再起動が必要: 設定はサービスの起動時とシャットダウン時に読み込まれます。変更は次回のサービス再起動サイクルで反映されます。
推奨される展開方法: 各エンドポイントで appsettings.json を直接編集するのではなく、中央のSettingsUpdateポリシーから設定を配布します。ポリシーによる構成のパターンについては、ポリシーベースのエージェント設定コントロールをご参照ください。
有効にする場合
有効にするケース
ハイブリッドAzure AD + Intune環境
Azure AD Connectは、ドメイン参加済みまたはハイブリッド参加済みのエンドポイント上のローカルアカウントを同期する場合があります。Keeper EPMがサービス再起動のたびにKeeperUserSessionを削除・再作成すると、Azure ADは継続的なアカウントの入れ替わりを検出します。同じアカウント名でもSIDが毎回異なります。以下のような症状が出ることがあります。
Azure AD同期の遅延またはバックログ
KeeperUserSessionのSIDを参照するIntuneポリシーが、再起動のたびに対象を失う
予期しないローカルアカウント活動によるコンプライアンスアラート
同期が積極的なActive Directory環境
アカウント変更が後続の同期イベント、外部プロセス実行、監査アラートを引き起こすAD環境では、入れ替わりの多いアカウントより安定したアカウントのほうが適しています。
パフォーマンスを重視する展開
アカウント作成にはSAMデータベースへの書き込みが伴います。SAM操作が遅いシステムや、サービス再起動時間の最小化が重要な場合、アカウントを保持すると起動時の作成コストを避けられます。
無効のままにするケース (デフォルト)
標準的な展開
ほとんどのWindows展開 (スタンドアロンのワークステーション、Azure ADハイブリッド参加のないドメイン参加システム、同期感度のない環境など) ではデフォルトのままにしてください。再起動ごとに新しい認証情報になるほうが、セキュリティ上望ましい構成です。
最大限のセキュリティ要件
再起動ごとに新しい認証情報を求める環境や、永続するローカル管理者アカウントを監査上の指摘とする環境では、デフォルトのままにしてください。
テストおよび開発
再起動のたびにクリーンな状態になるほうが、問題の再現が容易です。
動作の比較
デフォルト: MaintainKeeperAccount = false
サービス開始
既存のKeeperUserSessionアカウントがあれば削除し、新たに生成したパスワードで作成
サービス停止
KeeperUserSessionアカウントを削除
サービスがクラッシュ
孤立したアカウントは次回起動時にクリーンアップ
プロファイルフォルダ
孤立した C:\Users\KeeperUserSession.* フォルダをプロファイルフォルダクリーンアップジョブが削除
利点: 再起動ごとに新しい認証情報。サービス停止中は永続するローカル管理者アカウントがない。セキュリティ上望ましい構成。
有効: MaintainKeeperAccount = true
サービス開始
既存のKeeperUserSessionアカウントを再利用 (パスワードはローテーション)
サービス停止
KeeperUserSessionアカウントを保持
サービスがクラッシュ
アカウントは残存し、再起動時に再利用
プロファイルフォルダ
孤立したプロファイルフォルダは引き続きクリーンアップ (生成数は大幅に減少)
利点: 起動が速い (削除/作成サイクルなし)。Azure AD同期およびIntuneポリシーのターゲット向けに安定したアカウントSID。同期の入れ替わりがない。
セキュリティ上の考慮事項
KeeperUserSessionのパスワードは暗号学的に生成され、WindowsではDPAPIで保存時に保護され、サービス再起動ごと (アカウントが永続の場合は各昇格時) にローテーションされ、エンドユーザーやログには公開されません。パスワードの生成と取り扱いについて詳しくは、KeeperUserSession一時アカウントをご参照ください。
MaintainKeeperAccount = true の場合は、さらに以下に注意してください。
アカウント永続のリスク: Keeper EPMサービスが停止しても、エンドポイント上にローカル管理者アカウントが残ります。クリーンアップなしでサービスをアンインストールすると、アカウントが残る場合があります。アンインストール手順にアカウント削除を含めてください。
監査: 定期的なローカル管理者監査にKeeperUserSessionを含めてください。Keeper EPMが開始していない認証試行やプロセス起動を監視します。
アクセス制限: 可能な場合はグループポリシーでアカウントを制限します。対話型ログオンの拒否、ネットワークログオンの拒否、Remote Desktop Services経由のログオンの拒否など。Keeper EPMが必要とするのはローカルプロセス昇格のみです。
孤立したプロファイルフォルダ
Windowsでは、KeeperUserSessionアカウントの削除と再作成により、C:\Users 配下にプロファイルフォルダが残ることがあります。例:
C:\Users\KeeperUserSessionC:\Users\KeeperUserSession.12-30-HOSTNAMEC:\Users\KeeperUserSession.12-30-HOSTNAME.000、.001、.002など
これらは見た目上の問題であり、Keeper EPMの機能には影響しません。ただし、サービスを頻繁に再起動するエンドポイントではディスク上に蓄積する場合があります。
Keeper EPMは、5分ごとに実行される ephemeral-orphan-profile-folders-cleanupスケジュールジョブでこれらを自動クリーンアップします。ジョブは、C:\Users 配下で名前が正確に KeeperUserSession であるか KeeperUserSession. で始まるフォルダを削除し、HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList 内の対応する ProfileList レジストリエントリも削除します。
MaintainKeeperAccount = true を有効にすると、これらのフォルダが蓄積する原因となる入れ替わり自体をほぼ解消できます。
トラブルシューティング
MaintainKeeperAccountがtrueなのにアカウントが削除される
診断: 起動時のKeeper EPMサービスログを確認します。設定が正しく有効な場合、以下のようなログが表示されます。
代わりに以下が表示される場合、設定は false として読み込まれています。
対処:
設定が
appsettings.jsonのSettingsセクションにあり、別セクションではないことを確認するJSONの構文が正しいことを確認する (構文エラーがあるとファイルの読み込みに失敗し、すべての設定がデフォルトにフォールバックします)
Keeper EPMサービスを再起動し、ログを再確認する
SettingsUpdateポリシーで設定を配布している場合は、ポリシーが実行され、マージが成功したことを確認する
Azure ADがアカウントの追加/削除を頻繁に報告する
原因: Keeper EPMがサービス再起動のたびにKeeperUserSessionを削除・再作成し、Azure AD Connectが各イベントを同期しています。
対処:
MaintainKeeperAccount = trueを有効にするAzure AD Connectの同期スコープにKeeperUserSessionアカウントが含まれないことを確認する (スコープフィルタまたは明示的な除外)
組織ポリシーで許可される場合は、ローカルシステムアカウントを同期から除外することを検討する
C:\Usersに孤立したKeeperUserSessionフォルダが蓄積する
原因: クリーンアップジョブが動作していないか、クリーンアップより速く新しいフォルダが作成されています。
対処:
Keeper EPMサービスが
SYSTEMとして実行され、C:\Usersを変更する権限があることを確認するephemeral-orphan-profile-folders-cleanupジョブが有効でスケジュールされていることを確認する
入れ替わりが根本原因なら、
MaintainKeeperAccount = trueを有効にする手動クリーンアップの例:
残っている場合は、HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList 配下の対応エントリも削除します。
推奨事項
まず環境を評価する: 有効にする前に、Azure AD同期の入れ替わり、IntuneのSIDターゲット失敗、測定可能な起動遅延が実際に発生していることを確認してください。予防的に有効にしないでください。
有効化したエンドポイントと理由を文書化する: セキュリティ監査、トラブルシューティング、コンプライアンス報告に役立ちます。
ステージングで検証する: まず非本番エンドポイントで有効にし、Azure ADまたはIntuneの症状が改善すること、およびセキュリティ監視が想定どおりアカウント活動を引き続き捕捉することを確認してください。
定期的なセキュリティ監査に含める: アカウントが永続する場合は、KeeperUserSessionを監査対象に含めてください。
SettingsUpdateポリシーで配布する: 手動の
appsettings.json編集ではなく、構成を中央集約し、再現可能に保ちます。
最終更新