Keeperアップデート

エンドポイント全体におけるKeeper EPMアップデートの段階的展開、承認、延期、ロールアウト

Keeperアップデートポリシーで、管理対象の各エンドポイントが実行すべきKEPMのバージョンを一元的に宣言し、エンドポイントがそのバージョンへ自動的に揃うようにできます。すべてのマシンでエージェントを手動で再インストールする代わりに、希望バージョンを1回指定してマシンコレクションに適用します。

このポリシーの用途

• エンドポイントをKEPMの最新リリースへ自動的に追従させる。
• 特定バージョンへ固定し (検証、段階的ロールアウト、変更管理ウィンドウ向け)、ポリシーを変更するまで対象エンドポイントを明示的なバージョンで維持する。
• 標準的なポリシーターゲット指定により、マシングループごとにアップデートの振る舞いを制御する。

Keeperアップデートポリシーがマシンに適用されていない場合、そのエンドポイントは自動アップデートされず、インストール済みのバージョンのままです。自動アップデートはマシン単位で任意参加となり、ターゲット指定によって制御されます。

仕組み

KeeperアップデートポリシーはAdvanced Mode (JSON) ポリシーです。管理コンソールで通常どおりポリシーを作成し、Advanced Modeに切り替えてタイプと Extension ペイロードを設定します。

1. バックエンドは、希望する Version と ManifestUrl を含む Extension ペイロードとともにポリシーを保存します。
2. エンドポイントのアップデーターは、エージェント起動時、定期的な間隔、およびポリシー変更 (プッシュ) の直後にチェックを実行します。3つの経路はすべて同じロジックを実行します。
3. アップデーターは、そのマシンを対象とするKeeperアップデートポリシーから実効的な希望バージョンを解決します。該当するポリシーがない場合、チェックは変更なしで終了します。
4. 希望バージョンはインストール済みバージョンと比較されます。異なる場合、アップデーターは ManifestUrl からパッケージマニフェストを取得し、コンポーネントとOSに応じた正しいアーティファクトを選び、ディスクへ書き込む前にチェックサムと署名を検証します。
5. アップデートを適用したあと、安定化ウィンドウでコンポーネントの正常性を監視します。正常であればアップデートを確定し、失敗または不安定化した場合は、最後に正常だったバージョンへロールバックします。すべての結果は監査イベントとして記録されます。

手順: Keeperアップデートポリシーの作成 (高度なJSONから)

1

エンドポイント特権マネージャー → ポリシー に移動

2

[ポリシーの作成] ボタンをクリック

ポリシー作成用のモーダルが開きます。

3

ポリシー属性の定義

ポリシーには分かりやすい名前を付けます (例: Keeperアップデート、1.1.0へ固定)。

UIに表示されている既存のポリシータイプのいずれかをテンプレートとして選びます (タイプは後のJSON手順で KeeperUpdate に上書きします)。

ポリシーのステータスを選びます。ターゲット指定を検証するときは監視モードを使い、エンドポイントでの適用準備が整ったら適用に切り替えます。

4

ポリシーターゲットの構成

ポリシーを適用するマシンコレクションを設定します。これにより、どのエンドポイントが希望バージョンへ揃うかが決まります。ユーザーとアプリケーションのターゲットは * のままにします。Keeperアップデートポリシーはマシンを対象とし、ユーザーまたはアプリケーションの文脈では評価されません。

5

ポリシーのAdvanced Mode (JSONビュー) を開く

ポリシーフォーム左下のAdvanced Modeリンクをクリックします。

6

JSONでポリシータイプを再定義

PolicyType を "KeeperUpdate" に設定します。

7

Extensionフィールドの定義

必須JSONフィールドの説明に従い、希望する Version と ManifestUrl を含む Extension オブジェクトを追加します。

8

ポリシーの保存

9

エンドポイントでポリシーを検証

1. エンドポイントが MachineCheck で設定したマシンコレクションのメンバーであることを確認します。
2. ポリシーが適用モードのとき、チェックを起動します (エージェントを再起動する、スケジュール間隔を待つ、またはポリシー変更をプッシュする。ポリシー更新は自動的にチェックを起動します)。
3. エンドポイントが希望バージョンへ揃うことを確認します。すでに希望バージョンのエンドポイントは何も行いません。
4. ターゲット外のエンドポイントでバージョンが変わらないことを確認します。

必須JSONフィールド

PolicyType を "KeeperUpdate" に設定し、以下の2フィールドを含む Extension オブジェクトを記述します。

フィールド	必須	説明
Extension.Version	はい	対象エンドポイントの希望バージョン。"latest" で最新リリースを自動追従するか、明示的なセマンティックバージョン (例: "1.1.0") で固定します。
Extension.ManifestUrl	はい	アップデーターが更新アーティファクトの取得先と検証に使うパッケージマニフェストのURL。アップデーターはマニフェストをダウンロードし、コンポーネントとOSごとに正しいパッケージを選び、インストール前にチェックサムと署名を検証します。

ターゲットフィールド (UIで設定し、JSONに反映):

フィールド	説明
MachineCheck	ポリシーを適用する1つ以上のマシンコレクションUID。自動アップデートの適用範囲を決めるフィールドです。
UserCheck / ApplicationCheck	Keeperアップデートポリシーでは ["*"] に設定します。

---

JSONの例

{
  "PolicyName": "Keeper Updates – Track Latest",
  "PolicyType": "KeeperUpdate",
  "PolicyId": "Z7brWcTiyOqvtBjZKFTnww",
  "Status": "enforce",
  "Actions": {
    "OnSuccess": {
      "Controls": ["ALLOW"]
    },
    "OnFailure": {
      "Command": ""
    }
  },
  "NotificationRequiresAcknowledge": false,
  "RiskLevel": 50,
  "Operator": "And",
  "Rules": [
    {
      "RuleName": "UserCheck",
      "ErrorMessage": "This user is not included in this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckUser()"
    },
    {
      "RuleName": "MachineCheck",
      "ErrorMessage": "This Machine is not included in this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckMachine()"
    },
    {
      "RuleName": "ApplicationCheck",
      "ErrorMessage": "This application is not included in this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckFile(false)"
    },
    {
      "RuleName": "DateCheck",
      "ErrorMessage": "Current date is not covered by this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckDate()"
    },
    {
      "RuleName": "TimeCheck",
      "ErrorMessage": "Current time is not covered by this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckTime()"
    },
    {
      "RuleName": "DayCheck",
      "ErrorMessage": "Today is not included in this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckDay()"
    },
    {
      "RuleName": "CertificateCheck",
      "ErrorMessage": "Certificate hash is not included in this policy",
      "RuleExpressionType": "BuiltInAction",
      "Expression": "CheckCertificate()"
    }
  ],
  "UserCheck": ["*"],
  "MachineCheck": ["aDdMC3y_isged8ODDSnvRg"],
  "ApplicationCheck": ["*"],
  "DayCheck": [],
  "DateCheck": [],
  "TimeCheck": [],
  "CertificationCheck": [],
  "Extension": {
    "Version": "latest",
    "ManifestUrl": "https://qa.keepersecurity.com/pam/pedm/package-manifest.json"
  }
}

最新リリースの追従ではなく特定バージョンへ固定する場合は、Extension.Version を対象のセマンティックバージョンに変更します。

"Extension": {
  "Version": "1.1.0",
  "ManifestUrl": "https://qa.keepersecurity.com/pam/pedm/package-manifest.json"
}

固定すると、新しいリリースが公開されてもエンドポイントは指定バージョンに留まります。自動アップデートを再開するには、Extension.Version を "latest" に戻します。