## 承認設定
エンドポイント特権マネージャー (KEPM) の承認は、**グローバルな承認フレームワーク**に基づいて管理されます。承認の設定はKEPM内ではなく、管理コンソールの **\[管理者]** → **\[承認]** に集約されています。すべてのリクエスト種別に共通する承認となり、**チームを承認者またはエスカレーション先の承認者として指定**できます。**Keeper管理者**には引き続き承認の全権限があります。承認の有効期間ウィンドウも設定でき、最長30日まで指定できます。
日々の運用では、引き続き **\[エンドポイント特権マネージャー]** → **\[リクエスト]** で **リクエストの状況を確認** します。**承認ルール、承認者の割り当て、エスカレーションの動作、承認の時間ウィンドウ**は、**\[管理者]** → **\[承認]** で一元管理します。
これは、承認者および承認の設定を**Keeper管理コンソール**で行うという一般的な手順とも整合します (メニュー名はコンソールのバージョンによって異なる場合があります)。
## コマンドレベルの昇格
ポリシーでは、実行可能ファイルに含まれるコマンドライン引数やサブコマンド単位で、コマンドレベルの昇格を制御できます。承認や拒否の単位を細かく指定できるため、許可されたアプリケーションでも、事前に承認された操作に限り昇格を許可でき、権限の濫用リスクを低減できます。
## ポリシーの適用タイミング
ポリシーはエンドポイント全体に対してプッシュされ、30分以内に適用されます。Keeperエージェントのユーザーインターフェースには、**\[ポリシーを更新]** オプションも用意されています。
## オフラインアクセス
Keeper管理者が作成したポリシーは、エンドユーザーのデバイスにプッシュされ、ローカルにキャッシュされます。オフライン時もデバイス上でポリシーが評価されます。
* 理由の入力が必要な場合、ユーザーが入力したメッセージは、エージェントがオンラインになるまで端末上に一時保存され、その後サーバーに送信されます。ポリシーが「正当な理由のみ」を求めている場合は、実行が許可されます。
* 多要素認証 (MFA) が必要な場合、ユーザーはオンライン時のみ操作を実行できます。
* 承認が必要な場合、ユーザーはオンライン時のみ承認リクエストを開始できます。
* 監査メッセージはローカルにキャッシュされ、エージェントがオンラインになるとサーバーに送信されます。
## コマンダーを使用した自動化処理
Keeperコマンダーは、コマンドラインインターフェイス、サービスモード[REST API](/keeperpam/jp/commander-cli/service-mode-rest-api.md)、Python SDKを通じてポリシーの自動化に対応しています。エンドポイント特権マネージャーのコマンドの詳細は、[エンドポイント特権マネージャーコマンド](/keeperpam/jp/commander-cli/command-reference/endpoint-privilege-manager-commands.md)のページをご参照ください。
### ポリシー管理
`epm policy` コマンドでポリシーの生成を管理します。
```
My Vault> epm policy -h
pedm command [--options]
Command Description
--------- ----------------------------
list List EPM policies
add Add EPM policy
edit Edit EPM policy
view View EPM policy
assign Assign collections to policy
delete Delete EPM policy
```
## 承認とKEPMポリシーの関連付け
承認チームを作成しただけでは、承認フローは始まりません。以下の条件をすべて満たした場合に限り、承認が求められます。
* エンドポイント特権マネージャーのポリシー **承認が必要**コントロールが含まれること
* リクエストの種類が、管理コンソールで設定した承認の種類と一致すること
両方を満たすと、リクエストは割り当てられた承認チームに送られます。
## 承認ワークフロー
ポリシーで承認が必要な場合の流れは以下のとおりです。
1. **ユーザーが操作を開始する**\
例: 管理者として実行。
2. **エージェントがポリシーを評価する**\
承認が必要な「保留中」の判定が返されます。
3. **リクエストが作成される**\
リクエストが Keeper のバックエンドに送られます。
4. **承認チームがリクエストを受信する**\
承認者は以下の内容を確認できます。
* リクエストしたユーザー
* マシン
* アプリケーション
* コマンドライン (該当する場合)
* 正当な理由 (必要な場合)
5. **承認者が対応する**
* 承認 → 昇格が続行されます
* 拒否 → リクエストはブロックされます
## 次の手順
ポリシーについて、詳しくは以下のページをご参照ください。
* [最小特権ポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/least-privilege-policy-type.md)
* [特権昇格ポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/privilege-elevation-policy-type.md)
* [コマンドラインポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/command-line-policy-type.md)
* [ファイルアクセスポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/file-access-policy-type.md)
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.