# ボルトの構造

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2Fe4amF8nzL4F4QXkVcYpU%2Fimage.png?alt=media&#x26;token=74a79f77-0ba2-403e-bfe8-111232e1a394" alt=""><figcaption></figcaption></figure>

## 概要

お客様の環境では、Keeperボルトは組織内のすべてのユーザーとデバイスに展開されています。ウェブブラウザーを通じてアクセスでき、Windows、macOS、Linux用のネイティブデスクトップアプリも提供されています。KeeperボルトはKeeperPAMプラットフォームの基盤であり、全ユーザーに展開され、MFA、SSOが強制され、ゼロ知識暗号化モデルを実装しています。

Keeper管理コンソールからロール別強制適用ポリシーを有効にすると、指定されたユーザーはボルトを介して直接KeeperPAMの機能を操作できるようになります。

* [KeeperPAMコンソールとボルトへのアクセス方法](/keeperpam/jp/privileged-access-manager/setup-steps.md)
* [強制適用ポリシーの有効化](/keeperpam/jp/privileged-access-manager/getting-started/enforcement-policies.md)

***

## レコード、レコードタイプ、リソース

Keeperのレコードには、パスワード、ファイル、パスキーなど、用途に応じてさまざまなタイプがあります。各レコードは、ユーザーのデバイスでレコードレベルの暗号化キーを用いてローカルで暗号化されます。ボルト内ではレコードに含まれるすべての情報が暗号化されます。

シークレット管理および特権アクセス管理 (PAM) の機能を使用する際、レコードはアプリケーション、マシン、ディレクトリ、データベース、ドメインコントローラー、ユーザーなど、管理しているインフラを表すこともできます。

これらのレコードタイプは、パスワードレコードと同様に、プライベートまたは共有フォルダに配置され、ボルト内で直接管理され、ポリシーによって制御されます。

***

## フォルダと共有フォルダ

　ボルト内では、レコードはフォルダや共有フォルダに格納します。推奨されるフォルダ構成は以下のようになります。

* フォルダ
  * リソースを格納した共有フォルダ
  * ユーザーアカウントを格納した共有フォルダ

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FxxxMsEiuk8yir0DRbQTO%2Fimage.png?alt=media&#x26;token=47247352-795b-41b9-b2ea-0540539d8496" alt=""><figcaption><p>KeeperPAMでの通常のフォルダセットアップ</p></figcaption></figure>

最小権限の原則に基づき、リソースとユーザーアカウントを分けることを推奨します。この構成では、認証情報へのアクセス権を共有することなくユーザーにリソースを提供できます。ユーザーアカウントは別のフォルダに配置され、ボルト内で保つか、必要に応じて他の特権ユーザーと共有することができます。

例えば、以下ではLinuxマシンのようなリソースはリソースフォルダ内にあります。そのリソースに接続するために使用される管理者認証情報はリンクされていますが、リソース内に直接埋め込まれているわけではありません。この方法により、認証情報を共有せずにリソースへのアクセスを付与できるわけです。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FxOz94BRyB7mPPgLxJ8LY%2Fimage.png?alt=media&#x26;token=e19389ad-3c80-4a73-8025-8c49b311e105" alt=""><figcaption></figcaption></figure>

この例では、リンクされている管理者認証情報は、個別のアクセス権限とフォルダ権限が付与されたユーザーフォルダに存在します。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2F83fx2nEDAINuYGBzvXbz%2Fimage.png?alt=media&#x26;token=88403533-3b4b-4dbc-90fb-5cdc387f9a6c" alt=""><figcaption><p>ユーザーフォルダ内のリンクされた認証情報</p></figcaption></figure>

共有フォルダレベルでは、ユーザーとアプリケーションの両方にアクセス権を付与することができます。これにより、従業員とマシンに対して最小権限の原則を適用することができます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FmVxvzHJsxUHCju69dMu5%2Fimage.png?alt=media&#x26;token=ac464b2c-daee-4bc6-a670-cd98705ae315" alt=""><figcaption><p>共有フォルダへのアクセスが付与された人間のユーザー</p></figcaption></figure>

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FqTP7DSeUyDKy7y7tBT6p%2Fimage.png?alt=media&#x26;token=39d479c7-4647-4596-8a63-48d38f2bda6c" alt=""><figcaption><p>共有フォルダへのアクセスが付与されたアプリとマシン</p></figcaption></figure>

レコード、フォルダ、アプリケーション、設定の関係を理解するには、[クイックスタートウィザード](/keeperpam/jp/privileged-access-manager/quick-start-sandbox.md)をご使用ください。このウィザードでは、さまざまなリソースやボルトレコードを操作できるサンドボックス環境を簡単に作成できます。

***

## アプリケーション

シークレットマネージャーアプリケーションは、特定の共有フォルダに割り当てられます。これらのアプリケーションは、デバイスやゲートウェイと関連付けられ、割り当てられたレコードにアクセスします。

アプリケーションと関連するデバイスおよびゲートウェイは、そのフォルダに割り当てられたレコードしか復号化できません。Keeperでは最小権限の原則を実践することを推奨しており、アプリケーションがボルト内のレコードにアクセスする範囲を制限しています。

アプリケーションの管理は、ボルト内のKeeperシークレットマネージャーの画面で行います。下の画像の「Azure DevOps Pipeline」や「Azure AD Rotations」はアプリケーションの例となります。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FgvCNaq36sqw3gGC31SIv%2Fimage.png?alt=media&#x26;token=5f1ecc60-6879-44b5-b944-601e3ad1e694" alt=""><figcaption><p>シークレットマネージャーアプリケーション</p></figcaption></figure>

アプリケーションについて詳しくは[こちらのページ](/keeperpam/jp/privileged-access-manager/getting-started/applications.md)をご参照ください。

***

## デバイス

デバイスは、アプリケーションに関連するシークレットにアクセスするためのエンドポイントです。物理デバイス、仮想デバイス、クラウドベースのデバイスが含まれ、各クライアントデバイスには関連シークレットを読み取り、アクセスするための固有のキーが割り当てられます。

デバイスは、ボルトのユーザーインターフェース内の「アプリケーション」画面から初期化できます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FajpunLEY4X4XALwBtQYi%2Fimage.png?alt=media&#x26;token=585beca4-1757-48c7-ac11-6dce6fb22ae6" alt=""><figcaption></figcaption></figure>

デバイスについて詳しくは[こちらのページ](/keeperpam/jp/privileged-access-manager/getting-started/devices.md)をご参照ください。

***

## ゲートウェイ

Keeperゲートウェイは、Docker、Linux、Windowsマシンにインストールして、パスワードのローテーション、検出、接続、トンネリングなどの特権自動化タスクを実行するためのサービスです。このゲートウェイサービスは、リモートまたはオンプレミス環境に展開され、ゼロトラスト接続を実現します。

通常、Keeperゲートウェイは管理している各環境に展開します。たとえば、500件のクライアント環境を管理するMSPの場合は500件のKeeperゲートウェイを展開します。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2F88I9RSP1rMP0GvsK2Hy6%2Fimage.png?alt=media&#x26;token=8e6a947f-659e-45ba-b8ba-2d3e46856879" alt=""><figcaption></figcaption></figure>

Keeperゲートウェイ展開のアーキテクチャは用途によって異なります。弊社の担当チームまでお問い合わせください。

* [ゲートウェイ](/keeperpam/jp/privileged-access-manager/getting-started/gateways.md)

***

## 構成

PAM構成では、Keeperゲートウェイがインストールされているターゲット環境を定義します。この構成で、AzureクライアントシークレットやテナントIDなど、対象のインフラの管理に必要な重要なシークレットをゲートウェイに提供します。

PAM構成データは、指定された「アプリケーションフォルダ」内のレコードとして保存され、これによりゲートウェイが必要な情報を取得するための権限が付与されるようになります。

各ゲートウェイに対して1つの設定を定義することをお勧めします。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FmsBNB5iYAoOv2eRtKggE%2Fimage.png?alt=media&#x26;token=dc397184-8c17-4acb-abff-3a41f2574a4f" alt=""><figcaption><p>PAM構成</p></figcaption></figure>

PAM構成レコードについて詳しくは[こちらのページ](/keeperpam/jp/privileged-access-manager/getting-started/pam-configuration.md)をご参照ください。

***

## PAMリソース

ボルトでは、レコードで管理するリソースのタイプが定義されます。これらはPAMリソースと呼ばれており、いくつかの新しいレコードタイプがリソースに関連付けられています。

リソースを作成する際には、マシン、データベース、ディレクトリなど様々な対象から選択できます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FGPqtnFEplNiJNCUnOgeb%2Fimage.png?alt=media&#x26;token=5b5d593c-bb67-43a0-987d-6fc247fb7946" alt=""><figcaption><p>PAMリソースの作成</p></figcaption></figure>

各PAMリソースについては以下のリンクをご参照ください。

<table><thead><tr><th width="273">PAMレコードタイプ</th><th>対応アセット</th></tr></thead><tbody><tr><td><a href="/pages/IkpYwLTr6ggaDtjZb0Zs">PAMマシン</a></td><td>Windows、Linux、macOSの各デバイス、VM、EC2インスタンス、Azure VM、Networkデバイス、その他OS。</td></tr><tr><td><a href="/pages/LRBwDgDW1lBeyGxKT88n">PAMデータベース</a></td><td>MySQL、PostgreSQL、SQL Server、MongoDB、MariaDB、Oracle</td></tr><tr><td><a href="/pages/xdZMvXoQT8m5ulRMRrcc">PAMディレクトリ</a></td><td>Active Directory、Azure AD、OpenLDAP</td></tr><tr><td><a href="/pages/dMRZXZ4nsDa8Je17WyvV">PAMリモートブラウザ</a></td><td>ウェブベースのアプリケーション、セルフホスト型アプリケーション、クラウドアプリケーション、httpまたはhttpsのターゲット。</td></tr></tbody></table>

***

## PAMユーザー

「PAMユーザー」と呼ばれる特別なレコードタイプは任意のPAMリソースに直接関連付けることができます。PAMユーザーはKeeperゲートウェイによって使用され、接続の確立、パスワードのローテーション、アカウントの検出、対象のリソースでその他の特権自動化を実行します。

PAMユーザーは、レコード内の「認証情報」画面でPAMリソースと関連付けられます。この関連付けにより、リソースへのアクセスで直接認証情報へアクセスを許可されないようになります。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FY3Bu7gjTGXTa0Q8Yz8bd%2Fimage.png?alt=media&#x26;token=3966a254-81fb-44f6-af43-1c31f498b652" alt=""><figcaption><p>PAMリソースにリンクされたPAMユーザー</p></figcaption></figure>

PAMユーザーレコードはオンデマンドおよび自動ローテーション用に設定できます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FDUoYpxDOwbEnxhTMKtr0%2Fimage.png?alt=media&#x26;token=29ae66a5-0ef3-4a2d-b53b-9080162420a7" alt=""><figcaption><p>PAMユーザーの設定</p></figcaption></figure>

PAMユーザーについて詳しくは[こちらのページ](/keeperpam/jp/privileged-access-manager/getting-started/pam-resources/pam-user.md)をご参照ください。

***

## PAM機能を有効にする

PAM機能の有効化と利用方法については以下のリンクをご参照ください。

* [パスワードローテーション](/keeperpam/jp/secrets-manager/password-rotation.md)
* [接続](/keeperpam/jp/privileged-access-manager/connections.md)
* [トンネル](/keeperpam/jp/privileged-access-manager/tunnels.md)
* [リモートブラウザ分離](/keeperpam/jp/privileged-access-manager/remote-browser-isolation.md)
* [検出](/keeperpam/jp/privileged-access-manager/discovery.md)


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.keeper.io/keeperpam/jp/privileged-access-manager/getting-started/vault-structure.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.