PAMマシンのアクセス構成と昇格

PAMマシンレコード向けのJIT昇格およびワークフロー設定

概要

本ページでは、PAMマシンレコードを使用して、構成済みIDプロバイダ経由でマシンへジャストインタイム昇格アクセスを付与する方法を取り扱います。

レコードを共有し、JITおよびワークフロー設定を構成すると、ユーザーはアクセスを要求し、承認された時間枠の間にグループベースの一時昇格を受け取り、常設特権なしでマシンを起動できます。

サーバーまたはVMへのアクセスが承認、時間制限、完全な監査の対象である必要がある場合に、この構成を使用します。

PAMマシンリソースの構成と共有

以下の例では、IDプロバイダ経由で昇格アクセスを付与するようPAMマシンレコードを構成しています。PAM設定の [編集] を選択して、ワークフローとJITを構成します。

詳細な構成情報はSSH接続をご参照ください。

JIT設定

JIT設定では、承認後のアクセス付与方法を定義します。以下の例では、レコードがグループベースの特権昇格を使用しています。マシンがIDプロバイダ経由で認証する場合は、IDプロバイダ経由の認証を有効にします。グループ名は、IDプロバイダ内の対応するグループと一致している必要があります。承認後、ユーザーは構成された期間の間、一時的な昇格を受け取ります。現時点では、IDプロバイダ昇格によるロールベースの昇格には未対応です。

ワークフロー設定

ワークフロー設定では、レコードの承認制御を定義します。以下の例では、レコードが承認を必須とし、アクセスを1時間に制限しています。アクセス時間枠が終了すると、アクティブなセッションは閉じられ、一時的な昇格は削除されます。各要求に理由とチケット番号を必須にすることもできます。

詳細はワークフローをご参照ください。

アクセス要求

PAMマシンレコードがエンドユーザーと共有され、JITおよびワークフロー設定が構成されると、エンドユーザーはKeeperボルトまたはコマンダーからアクセス要求を送信できます。

ワークフローの全体像については、アクセスワークフローをご参照ください。