最初のエージェント

本ページでは、単一のエンドポイントにKeeper EPMエージェントをインストール、起動、登録する手順を取り扱います。新規インストールから、管理コンソールに表示される登録完了済みエージェントまでを、各ステップの意味が分かる手動プロセスで進めます。一度完了すれば、同じ手順を広範な展開で自動化できます。プラットフォーム別のパッケージング、MDM/GPO連携、無人インストールのパターンについては、デプロイ セクションをご参照ください。

開始前の確認

ライセンスと有効化 の要件を満たしていることを確認してください。

• EPMシートを含む有効なKeeperエンタープライズライセンス
• Keeper管理コンソールで有効化済みのエンドポイント特権マネージャー
• 特権アクセスを管理権限を持つ管理者アカウント
• hostname:deployment-uid:private-key 形式の登録トークン

エンドポイント側では、以下も必要です。

• インストールとサービス管理のためのローカル管理者またはroot権限
• 利用可能なポート: デフォルトは HTTP 6888、HTTPS 6889、MQTT 8675。エンドポイント上の他のサービスと競合する場合は構成で変更可能
• プラットフォーム (Windows、Linux、macOS) 向けのエージェントインストーラ (Keeperアカウントチームまたは管理コンソールから取得)

最初のデプロイパッケージの作成

デプロイパッケージは、Keeper管理コンソール内のコンテナであり、登録トークンの生成と、エージェントが使用する設定、コレクション、インストーラの紐づけを行います。各エージェントは正確に1つのデプロイパッケージに登録され、パッケージがエージェントのグループ化先と受け取るポリシーを決定します。

エージェントを登録する前に、登録先となるデプロイパッケージが少なくとも1つ必要です。

1

展開タブを開く

Keeper管理コンソールで [管理者] > [エンドポイント特権マネージャー] > [展開] (またはコンソールバージョンに応じた同等のメニューパス) へ移動します。

2

新しいデプロイパッケージを作成

[デプロイの作成 / 新規パッケージ / +] を選択して、新しいデプロイパッケージを開始します。

3

パッケージに名前を付ける

用途が分かる名前を付けます。最初のパッケージでは、Pilot - Windows や First Agent Test などが適切です。名前はエンドポイントグループ (Finance Workstations、Engineering Laptops) または展開フェーズ (Pilot、Wave 1) を反映するようにします。

4

対象プラットフォームを選択

このパッケージの対象プラットフォームを選択します。

• Windows
• macOS
• Linux

各プラットフォームごとに、プラットフォーム固有のインストーラとデフォルト設定が生成されます。複数プラットフォームへ展開する場合は、プラットフォームごとに別のデプロイパッケージを作成してください。1つのパッケージを複数プラットフォームで使い回さないでください。

5

コレクションを割り当て

このパッケージに適用するコレクションを割り当てます。コレクションは、登録されたエージェントが関連付けられるユーザーとマシン、およびポリシー定義後に間接的に適用されるポリシーを決定します。

最初のパッケージでは、既存のコレクションを割り当てるか、未割り当てのまま後から追加できます。コレクションをまだ作成していない場合は、承認者、コレクション、ポリシーの連携 をご参照ください。

6

パッケージレベル設定の構成

パッケージレベルでは、デフォルトのポリシーモード、エージェント更新の挙動、プラグイン選択、カスタム appsettings の上書きなどを設定できます。

最初のエージェントでは、特別な理由がない限りデフォルトを受け入れてください。

7

登録トークンを生成

[トークンの生成 / パッケージの作成] を選択してパッケージを確定します。管理コンソールは以下の形式の登録トークンを生成します。

hostname:deployment-uid:private-key

このトークンを直ちにコピーし、安全に保管してください。以下のエージェント登録フローのステップ4で必要になります。

登録トークンは機密性の高い認証情報です。シークレットとして扱い、安全なチャネルのみで保管および送信し、漏えいの疑いがある場合はローテーションしてください。

8

インストーラをダウンロード

デプロイパッケージの詳細画面から、プラットフォーム固有のインストーラをダウンロードします。

• Windows: KeeperPrivilegeManager.msi
• macOS: keeper-privilege-manager-*.pkg
• Linux: .deb / .rpm

インストーラをエージェントをインストールするエンドポイントへ転送します。

ここまでで揃うもの

この時点で以下が揃っています。

• 管理コンソールに作成されたデプロイパッケージ
• コピーして安全に保管した登録トークン
• ダウンロード済みでエンドポイントへ転送可能なプラットフォーム固有インストーラ

最初のエージェントのインストールと登録に進めます。

---

最初のエージェントのインストール

1

エージェントをインストール

プラットフォーム向けのインストーラを使い、エンドポイントにKeeperエンドポイント特権マネージャーエージェントをインストールします。インストーラはプラットフォーム固有の場所に製品を配置します。

• Windows: C:\Program Files\KeeperPrivilegeManager
• Linux / macOS: /opt/keeper/

インストール後、インストールディレクトリにメインの実行ファイル、appsettings.json、Plugins/、Jobs/、KeeperStorage/ サブディレクトリがあることを確認してください。

MSIパラメータ、パッケージマネージャーオプション、MDM構成プロファイルを含む自動または無人インストール方法については、デプロイ 配下のプラットフォーム別デプロイガイドをご参照ください。

2

サービスを起動

KeeperPrivilegeManagerサービスを起動します。ステップ3の検証手順の前に、15〜30秒の初期化時間を確保してください。

Windows:

Get-Service -Name "KeeperPrivilegeManager"
Start-Service -Name "KeeperPrivilegeManager"

Linux:

sudo systemctl status keeper-privilege-manager
sudo systemctl start keeper-privilege-manager
sudo systemctl enable keeper-privilege-manager   # Optional: auto-start on boot

macOS:

付属のlaunchd構成を使ってKeeperサービスを読み込み、起動します。具体的な launchctl コマンドと構成プロファイルについては、macOSでのデプロイ をご参照ください。

3

サービスの正常性を確認

エンドポイントからローカルヘルスチェックを実行します。

curl -k https://localhost:6889/health

サービスが稼働中であることを示す 200 OK 応答が返るはずです。チェックが失敗する場合は、以下を確認してください。

• さらに30秒待ってから再試行 (サービスがまだ初期化中の可能性あり)
• エンドポイント上で他のプロセスがポート 6888 または 6889 を使用していないこと
• サービスログでのエラー確認 (プラットフォーム別のログの場所については、ログの確認 をご参照ください)

プラグインヘルス、監視ステータス、システムステータスを含むヘルス・ステータスエンドポイントの一覧については、ヘルスとステータスエンドポイント をご参照ください。

4

エージェントを登録

登録により、このエンドポイントがKeeperテナントに紐づけられ、ポリシーを受け取り、ステータスを報告できるようになります。

現在の登録ステータスを確認:

curl -k https://localhost:6889/api/Keeper/registration

エージェントが未登録の場合、応答にその旨が示されます。

HTTP APIで登録 (YOUR_TOKEN_HERE を実際の登録トークンに置き換え):

curl -X POST "https://localhost:6889/api/Keeper/register?token=YOUR_TOKEN_HERE" --insecure

登録ヘルパーを使用:

• Windows: KeeperRegistrationHelper.exe --token "YOUR_TOKEN_HERE"
• Linux: ./register-keeper-ubuntu.sh --token "YOUR_TOKEN_HERE" (またはディストリビューション向けの同等スクリプト)

登録の確認:

curl -k https://localhost:6889/api/Keeper/registration

応答にエージェントが登録済みと表示されるはずです。この時点から、エージェントは登録先のデプロイパッケージとコレクションに基づき、管理コンソールからポリシーを同期します。

5

コアプラグインの稼働を確認

バックエンド同期とポリシー適用を担当するプラグインが稼働していることを確認するには、以下を実行します。

curl -k https://localhost:6889/api/plugins

Running 状態の以下の2つのプラグインを探してください。

• KeeperAPI: Keeperバックエンドとの登録およびポリシー同期に必須
• KeeperPolicy: ローカルでのポリシー評価と適用に必須

いずれかのプラグインが欠落している、または稼働していない場合は、先に進む前にサービスログの確認が必要です。

6

管理コンソールでエージェントを確認

Keeper管理コンソールに戻り、エンドポイント特権マネージャーセクションへ移動します。新しく登録したエージェントがエンドポイント一覧に表示され、登録時に指定したデプロイパッケージとコレクションに関連付けられているはずです。

1〜2分以内にエージェントが表示されない場合は、以下を確認してください。

• 登録トークンが正しいテナントとデプロイパッケージ向けだったか
• エンドポイントがKeeperバックエンドへ到達できるか (ローカル登録は成功しても、継続的な同期には外向き接続が必要)
• KeeperAPIプラグインのログで同期エラーの有無

成功チェックリスト

次に進む前に、以下をすべて確認してください。

• エージェントが想定どおりのディレクトリにインストールされている
• サービスが稼働している (Get-Service、systemctl status、または launchctl list)
• ヘルスチェックが 200 OK を返す
• 登録APIがエージェントを登録済みと確認する
• KeeperAPIとKeeperPolicyプラグインの両方が Running と表示される
• エージェントが管理コンソールのエンドポイント特権マネージャー配下に表示される

次のステップ

最初のエージェントは登録済みですが、まだポリシーが割り当てられていないため待機状態です。ここからは、以下のページをご参照ください。

• 承認者、コレクション、ポリシーのモデルを理解するには、承認者、コレクション、ポリシーの連携
• ポリシー適用後のデプロイパッケージ、エージェント、リクエストの連携を理解するには、デプロイパッケージ、エージェント、リクエストの連携
• MDM、GPO、スクリプトインストールでエージェントを大規模展開するには、デプロイ セクション