ライセンスと有効化

Keeper EPMエージェントをエンドポイントへ展開する前に、エンドポイント特権マネージャーを含む有効なKeeperエンタープライズライセンス、Keeper管理コンソールでのEPM有効化、適切な権限を持つ管理者ロール、エージェント用の登録トークンが必要です。本ページでは、これらの要件を順に取り扱います。

Keeperエンタープライズライセンス

Keeper EPMはKeeperエンタープライズの一部です。利用には以下が必要です。

• エンドポイント特権マネージャーを含む、有効なKeeperエンタープライズサブスクリプション
• 展開予定のエージェント数に見合うエンドポイントシート

有効化とシート割り当てはKeeper管理コンソールで行います。ライセンスやEPMの権利について不明な点がある場合は、Keeperのアカウントチームへお問い合わせください。

Keeperのお客様でない場合は、Keeperウェブサイトから無料トライアルを開始できます。無料トライアルにはEPMを含むKeeperPAMの全機能が含まれます。

エンドポイント特権マネージャーの有効化

1. リージョンに応じたKeeper管理コンソールへログインします。
2. 組織でエンドポイント特権マネージャーをオンにします。コンソールのバージョンにより、メニュー名は「エンドポイント特権マネージャー」「特権マネージャー」などと表示されます。
3. 管理コンソールのエンドポイント特権マネージャーセクションへ移動し、有効化を確認します。有効化後、承認者、コレクション、ポリシー、デプロイパッケージの定義を開始できます。

管理者権限の構成

Keeper EPMでは、エンドユーザー向け特権管理をカバーする管理者ロールが必要です。このロールがないと、コレクション、ポリシー、展開、リクエストを管理できません。

特権マネージャー権限を付与する手順は以下のとおりです。

1. Keeper管理コンソールで [管理者] > [ロール] へ移動します。
2. 新しいロールを作成するか、既存のロールを選択して変更します。
3. [管理権限] タブを開き、[管理ノードを追加] を選択します。
4. [特権アクセスを管理] 権限を有効にします。
5. 自分自身、または専用のテスト管理者アカウントをこのロールに割り当てます。

展開に進む前に、特権アクセスを管理権限を持つロールに割り当てられたユーザーが少なくとも1人必要です。

ディレクトリ連携の要件

ユーザーまたはグループのコレクションを対象とするKeeper EPMポリシーは、Active DirectoryまたはMicrosoft Entra IDの同期が正しく機能していることが前提です。具体的には、EPMのユーザーおよびグループコレクションを同期する epm scim コマンドは、使用前にKeeper管理コンソールでActive Directory連携が構成されている必要があります。

この連携が未構成の場合:

• ユーザーおよびグループのコレクションが不完全
• それらのコレクションを対象とするポリシー適用が想定どおりに機能しない

ユーザーまたはグループベースのポリシー対象指定を使う展開では、コレクションを定義する前に、管理コンソールでADまたはEntra ID連携を構成してください。ディレクトリ連携のセットアップについては、Keeper管理コンソールのドキュメントをご参照ください。

登録トークンの取得

各Keeper EPMエージェントは登録トークンを使ってKeeperテナントに登録します。トークンはデプロイパッケージの一部として生成され、登録された各エージェントを特定のエンドポイントコレクションに紐づけます。

トークンの形式は以下のとおりです。

hostname:deployment-uid:private-key

登録トークンは機密性の高い認証情報です。シークレットとして扱い、安全に保管および送信し、漏えいの疑いがある場合はローテーションしてください。

最初のデプロイパッケージを作成する際に登録トークンを取得します。デプロイパッケージの作成とトークン取得の詳細については、最初のエージェント および デプロイとリクエストライフサイクルの連携 をご参照ください。

要件チェックリスト

最初のエージェント に進む前に、以下を確認してください。

• Keeperエンタープライズライセンスが有効で、EPMシートを含むこと
• エンドポイント特権マネージャーがKeeper管理コンソールで有効化済みであること
• 特権アクセスを管理権限を持つ管理者アカウントが少なくとも1つあること
• ユーザーまたはグループベースのポリシー対象指定を使う場合、Active DirectoryまたはEntra ID連携が構成済みであること
• デプロイパッケージを作成する準備ができたとき、管理コンソールから登録トークンを取得できる場所を把握していること

これらの要件が揃えば、最初のエージェントを展開する準備が整います。