ポリシー
ユーザーとマシンに最小特権ポリシーを適用
エンドポイント特権マネージャーは、Keeperエージェントが実行されているエンドポイント全体に対して、アプリケーション、ユーザー、マシンごとに最小権限ポリシーを適用できます。ポリシーはテナント内の任意のコレクションに対して適用可能であり、組織の要件に応じて管理者がカスタマイズします。
アプリケーション、ユーザー、マシン、コレクション、実行コンテキストにわたり、きめ細かな適用制御を設定できます。強化されたフィルタ機能により、管理者はポリシーの種類、ステータス、コントロール、ユーザーグループ、マシンコレクション、アプリケーション、日時範囲の単位でポリシーを指定でき、包括的なガバナンスとピンポイントの適用の両立が可能です。
ポリシーは以下の要素に基づいて適用します。
リソースのコレクション
ポリシーの種類
制御項目 (コントロール)
属性
[ポリシー] 画面で、テナント内のアクティブな適用状況を確認できます。
ポリシーの作成
新しいポリシーを作成するには、[ポリシーを作成] をクリックし、ポリシーの詳細フォームを完成させます。
重要: 複数のポリシーを同じデバイスやユーザーに同時に適用することができます。この場合、Keeperは適用できるすべてのポリシーを厳密に順守して適用します。ポリシーに設定の競合がある場合、Keeperは自動的に最も制限的なオプションを適用し、エンドポイントの最大のセキュリティを確保します。
ポリシーの種類
Keeperで利用できるポリシータイプは以下のとおりです。
エージェンティックAI: AIエージェントの実行可否を管理します。
エージェンティックアクセス: エージェントによるファイルアクセスを管理します。
エージェンティック特権昇格: エージェントの昇格ポリシーを管理します。
ファイルアクセス: 実行可能ファイルや機密ファイルへのアクセスを制御します。
コマンドライン: Unix系システムにおける
sudoの制御用。最小特権: ローカルユーザーを管理者ロールから削除します。
特権昇格: 管理者昇格のリクエストを管理します。
高度なポリシータイプ (Advanced Mode で設定)
Keeperアップデート: 対象エンドポイント向けのKEPMバージョン (最新リリースまたは固定バージョン) を指定し、手動再インストールなしでマシンを自動更新できます。
HTTPアクセス: アウトバウンドのHTTP/HTTPS要求を制御し、特定のURLまたはドメインへのアクセスを許可、拒否、または承認を要求します。
設定の更新: 管理対象エンドポイント全体で、ソフトウェア更新の承認、スケジュール、適用方法を構成します。
更新ジョブ: 配布先、タイミング、ロールアウトの動作などを含む更新デプロイジョブを作成し、管理します。
カスタム: 組織固有の要件に合わせたルールとコントロールでカスタムポリシーを定義します。
ポリシーステータス
ポリシーは以下のいずれかの方法で適用できます。
監視: Keeperは操作を行わず、ユーザーに通知も行いません。
監視&通知: Keeperは操作を行いませんが、ユーザーにはイベントが発生したことを通知します。
監視&通知を選ぶ場合は、ポリシーの確認が必要にチェックを入れる必要があります。
適用: Keeperはポリシーに基づき操作を行い、ユーザーに通知します。
オフ: ポリシーは無効です。
ポリシーコントロール
ポリシーのステータスが適用のとき、ユーザーは定義された特定のコントロールを通過する必要があります。オプションは以下のとおりです。
MFA必須: 割り当てられたMFAデバイスを使用して、身元を証明する必要があります。MFAが必須の場合、ユーザーはKeeperボルトにサインアップし、TOTP方式の2FA (2要素認証) を設定する必要があります。MFAセッションの有効期間は5分です。テナント内であれば、有効なKeeperのメールアドレスと2FAの組み合わせで認証が行えます。
承認が必要: 指定された承認者がリクエストを処理するまで待機する必要があります。承認には常に理由の入力が必要です。最初の承認リクエストは30分でタイムアウトし、30分経過すると自動的にエスカレーションされます。エスカレーション後の承認は4時間以内に完了する必要があります。リクエストが承認されると、ユーザーは24時間以内にその権限を使用できます。タイムアウトは、イベントタイプごとの承認ページで構成できます。
理由の入力が必要: リクエストの理由を入力する必要があります。理由の入力に加えてMFAが必要な場合、ユーザーはまずMFA認証を完了し、その後に理由の入力を求められます。
標準実行についても、昇格制御に加え、アプリケーションの許可リストと拒否リストによる適用が可能です。特権操作だけでなく通常のアプリケーション運用にも最小権限の原則を広げ、一元管理を維持したままデフォルト拒否の運用ができます。
ポリシーフィルタ
ポリシーは、ポリシーフィルタセクションで指定したユーザーおよびデバイスにのみ適用します。以下のオプションがあります。
ユーザーグループ: 自動生成またはカスタムのユーザーグループコレクションから選択します。
マシン: 自動生成またはカスタムのマシンコレクションから選択します。
アプリケーション: 自動生成またはカスタムのアプリケーションコレクションから選択します。
日時範囲: 特定の日付範囲、曜日、時刻にのみポリシーを適用します。たとえば、勤務時間外にだけ制限を強化するポリシーを設定できます。
ファイルアクセスの承認期間
ファイルアクセスポリシーで承認が必要な場合、承認後は4時間以内、要求者が承認されたファイルにアクセスできます。この4時間以内は、許可されたファイルを開き、編集、保存、閉じる操作が可能です。
MFAアクセス期間
MFAチャレンジが発行され、正常に完了すると、要求者は5分間、承認された特権を利用できます。この時間内に特権を行使しなければ、新しいMFA要求を送信する必要があります。
参考: 承認期間の構成
すべて拒否のポリシー
「すべて拒否」のモデルでは、意図しないシステム障害を避けつつ厳格な適用を維持するため、保護パスのロジックを組み込んでいます。保護パスで、広範な制限をかけても OS の重要な構成要素の安定性を保てます。
参照: 保護パス
ワイルドカードポリシー
ポリシーフィルタを選択する際に [すべて選択] を選ぶと、ワイルドカードポリシーとなります。ワイルドカードポリシーを設定すると、将来コレクションに追加されるオブジェクトも自動的に対象に含まれます。
たとえば、以下のポリシーでは、すべてのユーザーグループ、マシンコレクション、およびアプリケーションに対してワイルドカードポリシーを適用しています。
ポリシーエディタ
ポリシーは、ユーザーインターフェースで基本モードまたは詳細モードで編集できます。詳細モードでは、JSON形式のポリシー定義を編集できます。
詳細なポリシーエディタ
ポリシーエディタの詳細モードでは、管理者がポリシーを直接JSON構文で管理できます。
承認設定
エンドポイント特権マネージャー (KEPM) の承認は、グローバルな承認フレームワークで管理します。承認の設定はKEPM内ではなく、管理コンソールの [管理者] → [承認] に集約されています。すべてのリクエスト種別に共通する承認となり、チームを承認者またはエスカレーション先の承認者として指定できます。Keeper管理者には引き続き承認の全権限があります。承認の有効期間ウィンドウも設定でき、最長30日まで指定できます。
日々の運用では、引き続き [エンドポイント特権マネージャー] → [リクエスト] でリクエスト状況を確認します。承認ルール、承認者の割り当て、エスカレーションの動作、承認の時間ウィンドウは、[管理者] → [承認] で一元管理します。
これは、承認者および承認の設定をKeeper管理コンソールで行うという一般的な手順とも整合します (メニュー名はコンソールのバージョンによって異なる場合があります)。
コマンドレベルの昇格
ポリシーでは、実行可能ファイルに含まれるコマンドライン引数やサブコマンド単位で、コマンドレベルの昇格を制御できます。承認や拒否の単位を細かく指定できるため、許可されたアプリケーションでも、事前に承認された操作に限り昇格を許可でき、権限の濫用リスクを低減できます。
ポリシーの適用タイミング
ポリシーはエンドポイント全体へ配信され、30分以内に反映されます。Keeperエージェントのユーザーインターフェースには、[ポリシーを更新] オプションも用意されています。
オフラインアクセス
Keeper管理者が作成したポリシーは、エンドユーザーのデバイスへ配信され、ローカルにキャッシュします。オフライン時もデバイス上でポリシーを評価します。
理由の入力が必要な場合、ユーザーが入力したメッセージは、エージェントがオンラインになるまで端末上に一時保存し、オンライン復帰後にサーバーへ送信します。ポリシーが理由の入力のみを求めている場合は、実行できます。
MFAが必要な場合、ユーザーはオンライン時のみ操作を実行できます。
承認が必要な場合、ユーザーはオンライン時のみ承認リクエストを開始できます。
監査メッセージはローカルにキャッシュし、エージェントがオンラインになるとサーバーへ送信します。
コマンダーを使用した自動化処理
Keeperコマンダーは、コマンドラインインターフェイス、サービスモード REST API、Python SDKを通じてポリシーの自動化に利用できます。エンドポイント特権マネージャーのコマンドについて詳しくは、エンドポイント特権マネージャーコマンドをご参照ください。
ポリシー管理
epm policy コマンドでポリシーの生成を管理します。
承認とKEPMポリシーの関連付け
承認チームを作成しただけでは、承認フローは始まりません。以下の条件をすべて満たした場合に限り、承認が求められます。
エンドポイント特権マネージャーのポリシーに承認が必要コントロールが含まれること
リクエストの種類が、管理コンソールで設定した承認の種類と一致すること
両方を満たすと、リクエストは割り当て済みの承認チームへルーティングされます。
承認ワークフロー
ポリシーで承認が必要な場合の流れは以下のとおりです。
ユーザーが操作を開始する 例: 管理者として実行。
エージェントがポリシーを評価する エージェントは承認が必要な「保留中」と判定します。
リクエストを作成する リクエストをKeeperのバックエンドへ送信します。
承認チームがリクエストを受信する 承認者は以下の内容を確認できます。
リクエストしたユーザー
マシン
アプリケーション
コマンドライン (該当する場合)
理由 (必要な場合)
承認者が対応する
承認 → 昇格を続行
拒否 → リクエストをブロック
最終更新