特権クラウド JIT昇格での直接またはフェデレーションIDプロバイダの使用
本ページでは、Keeper特権クラウドが直接IDプロバイダまたはフェデレーションIDプロバイダ経由で昇格を処理する方法を取り扱います。
対象プラットフォームが独自のプロバイダでIDを管理する場合は直接認証を使用します。対象プラットフォームが認証と認可のために別のプロバイダに依存する場合はフェデレーション認証を使用します。
どちらのモデルでも、ワークフローとJIT設定に基づき、承認された時間枠の間、IDプロバイダ経由で一時アクセスが付与されます。
直接認証: 対象PAM構成で定義されたIDプロバイダに対するユーザー認証と認可。AWSがPAMネットワークとして構成されている場合、ゲートウェイはAWS IAMと直接通信します。
フェデレーション認証: 対象PAMネットワークが認証と認可のために別のIDプロバイダを使用する方式。AWS Identity CenterはAzure Entra IDにフェデレーションでき、昇格はAzureテナント経由で適用されます。
以下の例では、AWSテナントが認証と認可のソースとしてEntra IDを使用するよう構成されています。
これを機能させるには、以下の手順が必要です。
Keeperボルトで、各テナント用に別々のフォルダを作成します。この例では以下のとおりです。
AWS Resources Folder
Azure Resources Folder
各テナント用にKeeperボルトでシークレットマネージャーアプリケーションを作成します。
フェデレーションIDアプリケーションは、ゲートウェイがそのアプリケーション内のリソース設定を読み取るために必要なアクセス権限を持つ必要があります。フェデレーションIDを使用してアプリケーションへアクセスできるようにしてください。この例では、AWS Resources Folder が Azure Application からアクセスできる状態にし、最低限読み取り専用アクセスを付与します。
Azure Application
PAM構成ページで説明されている手順に従い、各クラウドプロバイダ用のPAM構成を作成します。
AWS環境のセットアップ
Azure環境のセットアップ
Azureテナントにアクセスできるゲートウェイをプロビジョニングします。レコードのワークフローおよびJIT設定を通じてユーザーのアクセスを昇格するIDプロバイダとしてAzureを使用するため、これが必要です。
必要に応じて、AWSテナントにアクセスできるゲートウェイをプロビジョニングします。Keeperボルトレコード経由でユーザーがアクセスする必要があるAWS上のPAMマシンまたはデータベースがプロビジョニングされている場合に必要です。
AWS Identity CenterをAzure Entra IDに統合する手順については、Amazonの公式ドキュメントをご参照ください。 https://docs.aws.amazon.com/singlesignon/latest/userguide/idp-microsoft-entra.html
AWS PAM構成を、Azure PAM構成を通じてIDをフェデレーションするよう設定します。以下に例を示します。
上記のとおり、構成対象の各アプリケーション用にフォルダが作成されています。Keeperシークレットマネージャーアプリケーションの作成方法はアプリケーションをご参照ください。
この例では、AWSとAzureの両テナントがPAMネットワークとして構成されています。AWS PAM構成は、IDのソース (フェデレーションディレクトリ) としてAzure PAM構成を指しています。この機能を有効にするには、[フェデレーションディレクトリ] のチェックボックスをオンにし、一覧から正しいIDPを選択する必要があります。
これらのPAM構成が正しくセットアップされ、IDPがクラウドプラットフォームと統合されると、ユーザーがアクセスを要求するか権限を昇格した際に、IDPテナント内でJIT昇格が実行されます。
最終更新 19 日前
