ADドメインコントローラを使用したアクセス昇格

特権クラウドを使用したActive Directoryへのアクセス昇格の管理

概要

本ページでは、KeeperPAMを使用してActive Directoryユーザーの権限を昇格する方法を取り扱います。ドメインコントローラがIDプロバイダとして機能する環境内のリソースへのジャストインタイム特権昇格を対象とします。

Keeper特権クラウドでは、ユーザーは共有PAMリソース経由でアクセスを要求します。承認後、KeeperPAMにより、承認された期間中、ドメインコントローラ上でグループベースの一時昇格が付与され、有効期限が切れると自動的に削除されます。

ドメインコントローラが認証と認可を直接管理し、アクセスが承認、時間制限、完全な監査の対象である必要がある場合に、このモデルを使用します。

要件

本ガイドでは、以下の作業が完了していることを前提とします。

• Keeperシークレットマネージャーアプリケーションが作成済みであること
• Keeperゲートウェイがオンラインであること
• ドメインコントローラ環境のセットアップが完了しており、LDAPS (ポート636) を使用していること
• KeeperゲートウェイがLDAPS (ポート636) 経由でActive Directoryに接続できること

1. PAMユーザーレコードのセットアップ

KeeperPAMは、このPAMユーザーレコード内の認証情報を使用して、ディレクトリ内の他のアカウントを管理します。このアカウントはドメイン管理者である必要はありませんが、ドメイン内のアカウントのグループメンバーシップを正常に変更できる必要があります。

AD管理者用PAMユーザーレコード

PAMユーザーレコードは、要件で作成したKSMアプリケーションに共有されている共有フォルダ内に配置する必要があります。この特権アカウントへのアクセスが必要なのはKSMアプリケーションのみであり、ユーザーと共有する必要はありません。

PAMユーザーレコードのフィールド

フィールド	説明
レコードタイプ	PAM User
タイトル	Keeperレコードのタイトル
ログイン	Active Directory管理者のユーザー名。ユーザー名の形式は対象システムとサービスの種類によって異なります。 例: DOMAIN\Administrator [e-mail]
パスワード	Active Directory上の管理者ユーザーのパスワード
識別名 (Distinguished Name)	Active Directory上の管理者ユーザーの完全な識別名 (DN)

2. PAM構成のセットアップ

PAM構成は、環境、Keeperゲートウェイ、認証情報を関連付けます。この活用事例向けのPAM構成がまだない場合は、新規に作成してください。

フィールド	説明
タイトル	構成名。例: Active Directory Example
環境	選択: Domain Controller
ゲートウェイ	ディレクトリサーバーにアクセスできるゲートウェイを選択
アプリケーションフォルダ	手順1で作成したPAMユーザーレコードを含む共有フォルダを選択
管理者認証情報	手順1で作成したPAMユーザーレコードを選択
ホスト名またはIPアドレス	Active Directoryドメインのドメイン名またはIPアドレスを入力
ポート	636 (LDAPS) を入力
Use SSL	LDAPSを使用する場合は、このチェックボックスをオンにする

3. PAMレコードのセットアップ

PAMマシンリソースの構成と共有

以下の例では、Active Directory経由で昇格アクセスを付与するようPAMマシンレコードを構成しています。PAM設定の [編集] を選択して、ワークフローとJITを構成します。

これらの手順は、LDAP接続データベースへのアクセス権を昇格させる場合にも使用できます。

詳細な構成情報はSSH接続をご参照ください。

JIT設定

JIT設定では、承認後のアクセス付与方法を定義します。以下の例では、レコードがグループベースの特権昇格を使用しています。このマシンがActive Directory経由で認証するため、IDプロバイダ経由の認証を有効にします。グループ名は、ドメインコントローラ内の対応するグループと一致している必要があります。承認後、ユーザーは構成された期間の間、一時的な昇格を受け取ります。現時点では、IDプロバイダ昇格によるロールベースの昇格には未対応です。

ワークフロー設定

ワークフロー設定では、レコードの承認制御を定義します。以下の例では、レコードが承認を必須とし、アクセスを5分に制限しています。これはJIT設定の有効期限を上書きします。アクセス時間枠が終了すると、アクティブなセッションは閉じられ、一時的な昇格は削除されます。各要求に理由とチケット番号を必須にすることもできます。

詳細はワークフローをご参照ください。

アクセス要求

PAMマシンレコードが共有され、JITおよびワークフロー設定が構成されると、ユーザーはKeeperボルトまたはコマンダーからアクセス要求を送信できます。

ワークフローの全体像はアクセスワークフローをご参照ください。