概要
Keeper EPMは特権昇格および委任管理 (PEDM) ソリューションです
概要
Keeperエンドポイント特権マネージャー (KEPM) は、特権昇格および委任管理 (PEDM) ソリューションです。Windows、macOS、Linuxにわたり、特権昇格、ファイルアクセス、アプリケーション実行、コマンドライン操作、エージェンティックAIの活動、外向きネットワークアクセスを制御します。
KEPMを導入すると、ユーザーは恒常的な管理者権限なしで作業でき、セキュリティチームはポリシー制御、監査の可視性、一貫した適用を維持できます。
KEPMの機能
KEPMでは以下が可能です。
昇格、ファイルアクセス、コマンド、AIエージェント、DNSアクセスの制御
恒常的なローカル管理者権限の撤廃
機密操作の前にMFA、承認、正当な理由の入力を必須化
Windows、macOS、Linuxにわたるポリシーの一貫適用
すべての判断とワークフロー結果の監査
ポリシーはKeeper管理コンソールで定義され、エンドポイントエージェントがローカルで適用します。昇格の試み、ファイルアクセス、コマンド、AIエージェントの操作、ポリシー一致、承認はすべて監査可能です。
KEPMは、一元化された承認、詳細な監査証跡、きめ細かなポリシー制御、AIエージェントのガバナンス、組み込みのレジリエンスによってガバナンスを強化します。
主な機能
Windows、macOS、Linuxにわたるエージェントベースの展開
ユーザーとワークロード向けの最小特権の適用
プロセスまたはマシンレベルでのジャストインタイム昇格
MFAと正当な理由の入力を備えた承認ワークフロー
エージェンティックAIの検出とガバナンス
DNSベースのゼロトラスト制御
詳細な監査とレポート
ITSMおよびセキュリティワークフローとの連携
ガバナンスと監査
セキュリティチームは、KEPMを通じて分かりやすく実用的な可視性を確保できます。
昇格、ファイルアクセス、コマンド、AI活動、ポリシー評価に関する監査イベント
どのポリシーが一致したか、その理由の可視化
正当な理由の入力、MFA、承認の追跡
SIEMおよびセキュリティ監視ツール向けのイベントストリーム
同一のポリシーモデルは、MFAチャレンジ、承認ルーティング、正当な理由の取得、リダイレクト、カスタムフィルター、ジョブなどのワークフローにも対応します。
ゼロスタンディング特権
KEPMを使うと、組織はゼロスタンディング特権へ移行できます。
ユーザーは既定ではローカル管理者ではない
必要な場合にのみ昇格をリクエストする
ポリシーが許可、拒否、MFA必須、正当な理由の必須、承認の要否を判断する
最小特権ポリシーは、管理対象デバイスからローカル管理者権限を外します。Windowsではローカル管理者グループから、macOSおよびLinuxでは sudo から外します。
特権操作は、Keeperが管理する一時アカウントから実行されます。
ロールアウトのガイダンスは、段階的ロールアウトの計画をご参照ください。
ポリシーの適用範囲
KEPMでは、アプリケーションを意識したきめ細かな適用が可能です。
特権昇格
アプリケーション、コマンドライン、ユーザー、グループ、またはマシンへの対象指定
ポリシーごとに許可、拒否、MFA、正当な理由、承認のいずれかを適用
アカウント全体ではなくプロセスだけを昇格
設定可能な期間による時間制限付き昇格の付与
ファイルおよびデータアクセス
ファイルまたはフォルダへのアクセスを許可、拒否、条件付きで許可
機密アクセスに正当な理由または承認を必須化
個別ファイルを機密としてマークし、アクセス時に承認を要求
設定可能な期間による時間制限付きアクセスの付与
コマンドライン制御
コマンドまたはパターンのルールを定義
CLIから起動される操作にポリシーを適用
macOSおよびLinuxでは
keepersudo経由でsudo利用を統制
エージェンティックAIガバナンス
既知のAIエージェント (GitHub Copilot、Cursor、Claude Code など) を検出し、AIエージェントらしく振る舞う未知のプロセスも識別
エージェントの活動を監視し、エージェントの操作にリスクスコアを付与
エージェントに許可する操作を統制し、機密ファイル、特権コマンド、ネットワーク宛先へのアクセスを制限
エージェントが機密操作を行う前にヒューマンインザループ承認 (エンドユーザーまたは管理者) を要求
エージェントのリスクスコアが定義したしきい値を超えたときに応答アクションを実行
ネットワークアクセス
外向きDNS解決を許可/拒否ホスト名パターンと照合
クエリを許可、拒否、または正当な理由/MFA/承認待ちで保留
ユーザー、マシン、アプリケーション、AIエージェントごとに適用範囲を設定
時間制限付きDNSアクセス付与を発行し、承認済みの反復クエリを再評価なしで通過
変数、ワイルドカード、コレクションを使えば、長大なルール一覧を維持せずにポリシーの対象指定を拡張できます。
ZTNA DNS制御はWindowsエンドポイントで利用できます。
インベントリとリスクの可視化
管理コンソールは、検出とポリシー作成を支援するエンドポイントインベントリも表示します。
既知および可能性のあるAIエージェント向けエージェンティックAIインベントリ
有効性ステータスとCVEリスクを備えた証明書インベントリ
ソフトウェアバージョンとCVEベースのリスクスコアを備えた製品インベントリ
管理者体験
ダッシュボード
Keeper管理コンソールはEPMの一元管理コンソールです。既定のダッシュボードには、監視モードのイベントを含む最新のイベントが表示されます。
ダッシュボードから、管理者は以下の操作が可能です。
EPMの有効化とライセンス管理
デバイス全体のポリシーの作成と管理
アプリケーション、マシン、ユーザー、DNS名、コマンドライン引数、AIエージェント向けコレクションの定義
承認者と承認ワークフローの構成
デプロイメントグループの管理
展開とエンドポイント状態の監視
AIエージェントリスクとエンドポイントインベントリの確認
リクエストと承認履歴のレビュー
詳細な監査履歴とレポートデータへのアクセス
管理者はダッシュボードで一度設定すれば、エージェントによってポリシーがすべての場所で適用されます。
デプロイメントグループとターゲティング
デプロイメントグループにより、段階的なロールアウトときめ細かなターゲティングが可能です。
以下のことができます。
フェーズに沿った展開 (テスト → パイロット → 部門 → エンタープライズ)
以下の軸でのポリシースコープ
ユーザーまたはグループ
マシン
アプリケーション
AIエージェント
DNS名
プラットフォーム
以下のポリシーモードの調整
オフ
監視
監視&通知
適用
これにより安全なロールアウトとガバナンスの精度が確保されます。エージェンティックAIポリシーは既定で監視モードとなり、適用前にエージェントの振る舞いを観察できます。
KeeperPAMにおけるKEPM
Keeperエンドポイント特権マネージャーは、より広いKeeperPAMプラットフォームの一部です。KeeperPAMは以下を組み合わせます。
パスワード管理: 認証情報の安全な保管とローテーション
シークレット管理: アプリケーションのシークレットとAPIキーの管理
ゼロトラストネットワークアクセス: 安全で検証済みのリモート接続
接続管理: リモートシステムへの効率的なアクセス
セキュアトンネリング: 機密リソースへの保護された経路
KEPMは、ローカル特権、アプリケーション実行、エージェンティックAIの活動、外向きDNS解決を制御することで、ゼロトラストの原則をエンドポイントに直接適用します。
KeeperPAMがインフラ、セッション、認証情報へのアクセスを保護する一方で、KEPMはアクセス付与後にユーザーとAIエージェントがエンドポイント上で何をできるかを統制します。
エンドユーザー体験
KEPMは、セキュリティを維持しながら生産性を高めるよう設計されています。
Keeperエージェントを実行しているユーザーは、適用ポリシー、承認、昇格リクエストを確認できます。UIはWindows、macOS、Linuxで利用できます。
必要な場合にのみ昇格をリクエスト
正当な理由やMFAが必要な旨を明確なダイアログで提示
承認済みの操作はスムーズに続行
ポリシーでヒューマンインザループレビューが必要な場合、AIエージェントの操作を承認または拒否するよう求められることがある
リダイレクトは単純な拒否ではなく安全な代替手段を提示
昇格は一時的でポリシー管理下に置かれる
体験は対応プラットフォーム間で一貫しています。
Windows
Windowsユーザーが昇格を要するアプリケーションを実行しようとした場合は、以下のとおりです。
EPMダイアログに正当な理由やMFAの要件が表示される
必要に応じて承認ワークフローが起動する
昇格は時間制限付きでポリシー管理下に置かれる
macOS
macOSでは、昇格とファイルアクセス制御が同一のポリシーモデルで動作します。
正当な理由やMFAについてはネイティブに近いダイアログが表示される
ポリシーはGUIアプリとコマンドラインツールの双方を統制する
Linuxとコマンドライン
Linuxでは、EPMが管理された昇格フローを通じてポリシーを適用します。
CLIの操作は
keepersudoによって統制される特権実行の前にポリシーが評価される
macOSおよびLinuxでは、Keeperはコマンドラインポリシータイプを通じて sudo を保護します。ユーザーは keepersudo 経由で昇格します。
以下の例では、ユーザーが root への昇格をリクエストし、管理者が承認します。
昇格の承認
管理者はKeeper管理コンソール、コマンダーCLI、または連携アプリケーションでリクエストを承認できます。
運用の柔軟性
KEPMは、段階的ロールアウト、動的構成、プラグインとジョブ管理、バージョン固定付きエージェント更新、変数とワイルドカードによる拡張可能なターゲティング、エアギャップ環境向けオフライン登録などの運用機能を備えています。
連携
Keeperエンドポイント特権マネージャーは、承認の自動化、レポート、アラート向けに主要なエンタープライズツールと連携します。
ServiceNow: ワークフローによる承認要求とITSMチケット生成
Jira: ワークフローによる承認要求とITSMチケット生成
Slack App: Slackアプリから昇格リクエストを承認または拒否
Teams: Teamsアプリから昇格リクエストを承認または拒否
自動化
KeeperコマンダーCLIは、エンドポイント特権マネージャーのワークフロー、承認、展開、検出、レポート、ポリシー管理のあらゆる操作を完全に自動化できます。
最終更新