ワークフロー
承認、時間制限によるアクセス制御、認証情報の自動ローテーションを適用し、恒久的な特権を排除する、エンタープライズグレードの特権アクセス統制。
概要
ワークフローは、ユーザーがPAMリソースへの特権アクセスを要求・取得・利用する方法を制御します。アクセス時間の制限、承認、シングルユーザーでの貸出、MFAを設定して、ジャストインタイムアクセスを適用します。
承認されたアクセス枠が終了するか、レコードが返却されると、アクセスは終了します。KeeperPAMはアクティブな接続を解除し、認証情報をローテーションします。本ガイドでは、Keeperボルト内のPAMレコードでワークフローを設定する方法を説明します。
主な機能
多段階承認: 承認ワークフローで、複数の承認者によるサインオフまたは委任された承認権限を要求できます
シングルユーザーモード (貸出 / 返却): 同時にリソースにアクセスできるユーザーは1人だけです。利用前にリソースを貸出し、終了後に返却する必要があります。手動で戻さない場合でも、時間制限に達するとアクセスは自動的に取り消されます。
MFA要件: アクセス付与前に多要素認証を完了する必要があります。
アクセス時間の上限: 定められた期間だけアクセスが付与され、時間枠の満了とともに自動的に取り消されます。
リアルタイム通知: 承認者はデスクトップ、ウェブ、モバイルを含むすべてのKeeperクライアントで通知を受け取ります。
要件
ワークフローを構成する前に、以下を用意してください。
ワークフロー適用ポリシー
KeeperPAMの適用ポリシーは、Keeper管理コンソールの [管理] > [ロール] > [適用ポリシー] > [特権アクセス管理] で管理します。
以下の適用ポリシーは、ユーザーがPAMレコードタイプでワークフロー設定を構成する権限に影響し、有効にする必要があります。
ワークフロー設定を管理できる
ユーザーがPAMマシン、PAMディレクトリ、PAMデータベース、PAMブラウザでワークフロー設定を構成できるようにします
ワークフロー適用ポリシーは、KeeperコマンダーCLI の enterprise-role コマンドを使って、以下のように有効にすることもできます。
PAMマシン、PAMデータベース、PAMディレクトリ、PAMブラウザ
ワークフローを構成すると、ターゲットエンドポイントにおける特権アクセスの要求、承認、利用の管理方法を定義できます。ターゲットエンドポイントは、以下のいずれかのPAMレコードタイプで定義する必要があります。
Windows / macOS / Linuxマシン、EC2インスタンス、Azure VM
MySQL、PostgreSQL、SQL Server、MongoDB、MariaDB、Oracle
Active Directory、OpenLDAP
ウェブベースのアプリケーション
ターゲットエンドポイントに応じて、対応するPAMレコードタイプのページをご参照のうえ、セットアップの詳細を確認してください。
PAM設定 — ワークフローの構成
特定のリソースのPAM設定内では、レコード所有者、または編集権限とワークフロー設定を管理できるコンソール適用ポリシーを持つユーザーが、ワークフロータブを管理できます。
ワークフロー設定へ移動
PAMマシン、PAMデータベース、PAMディレクトリ、またはPAMブラウザの各レコードで、PAM設定画面のワークフロータブへ移動するには、以下の手順に従います。
PAMレコードタイプを編集します。
PAM設定セクションの「編集」をクリックします。
表示されたウィンドウの「ワークフロー」セクションに移動します。
特定のリソースのPAM設定内では、レコード所有者、または編集権限とワークフロー設定を管理できるコンソール適用ポリシーを持つユーザーが、ワークフロータブを管理できます。特権アクセス設定はフォルダレベルで適用され、PAMマシン、PAMデータベース、PAMディレクトリなど、あらゆる種類のPAMリソースに適用できます。
ワークフローを構成するには、ワークフロータブを開きます。ここには4つの切り替えオプションがあり、組織に必要な制御レベルに応じて単独でも組み合わせても使用できます。これらを組み合わせることで、アクセスが許可されるタイミング、承認者、同時にアクセスできるユーザー数、セッション開始前にステップアップ多要素認証を要求するかどうかを定義する、強力な多層アクセスポリシーを構築できます。
アクセス時間を制限を使うと、管理者はユーザーがリソースにアクセスできるタイミングを正確に定義できます。特定の曜日にわたる時間枠と、承認後のアクセスの最大継続時間を設定します。これにより、最小権限のベストプラクティスに沿った、強制力のある時間制限付きアクセスが確立され、アクセスは必要なときにのみ付与され、時間枠が終了すると自動的に取り消されます。
ワークフローの構成
ワークフロータブでは、以下のフィールドを設定できます。
アクセス時間を制限
有効にすると、リソースにアクセスできるタイミングと期間が制限されます。管理者はアクセススケジュール (例: 月曜〜金曜の午前8時〜午後5時) と最大アクセス時間 (例: 2時間) を定義できます。許可されたスケジュール外、または時間上限を超えたアクセスは自動的に拒否または取り消されます。 注: 承認が必要、シングルユーザーモード、MFAを有効にする場合は必須です
承認が必要
有効にすると、ユーザーはリソースにアクセスする前に要求を出し、承認を受ける必要があります。レコード所有者がデフォルトの承認者として追加されます。承認者リストには追加のユーザーを登録できます。 オプションで、各要求に正当な理由またはチケット／課題番号の入力を必須にできます。 注: 承認者として追加されたユーザーも、リソースへのアクセスを要求する必要はありません。
シングルユーザーモード
有効にすると、同時にリソースを貸出して利用できるユーザーは1人だけです。別のユーザーがアクセスするには、先に返却が必要です。
多要素認証 (MFA)
有効にすると、接続の起動またはトンネル開始前に多要素認証を完了する必要があります。ユーザーがKeeperアカウントに設定したMFA方式が使用されます。
これらのオプションは単独でも組み合わせでも使え、組織のアクセスポリシーに合わせられます。よくある組み合わせの例:
アクセス時間を制限 + 承認が必要: 定義したスケジュール内でのみアクセスでき、利用のたびに承認が必要です。
承認が必要 + シングルユーザーモード: 同時にアクセスできるユーザーは1人で、貸出前に承認が必要です。
承認が必要 + MFA: 承認を受けたうえで、リソースにアクセスする前に多要素認証を完了する必要があります。
すべて有効: 定義したスケジュール内のみアクセス可能、利用前に承認が必要、同時利用は1ユーザーに制限され、接続起動前にMFAが適用されます。
アクセス時間を制限
アクセス時間を制限すると、ユーザーがリソースにアクセスできる時間帯を定義できます。特定の曜日の時間枠と、付与後に許可するアクセス時間を設定できます。
承認が必要
承認が必要な場合は、ドロップダウンから1人以上の承認者を選べます。デフォルトではレコード所有者が承認者に追加されます。さらに、レコードへのアクセス権を持つ任意のユーザーまたはチームを承認者に指定できます。1人の承認だけでよいのか、複数承認が必要かも構成できます。
注: 承認者として追加されたユーザーは、リソースへのアクセスを要求する必要はありません。
要求者に、アクセス理由や課題番号の入力を必須にすることもできます。
また、アクセス枠の開始タイミングを選べます。
承認時 — 要求が承認された時点でアクセス用タイマーが開始されます。
リソースへの最初の接続時 — 要求が承認されたあと、ユーザーが最初の接続を起動したときにアクセス用タイマーが開始されます。
承認が必要を使うと、特権アクセスを許可する前に組織内で構造化された承認チェーンを構築できます。ドロップダウンから1人以上の承認者を選択できます。レコードを参照できる任意のユーザーまたはチームを承認者にでき、より重要なリソースにはエスカレーション用の承認者を含めることもできます。
アクセスに単一の承認者または複数の承認者を必要とするかを設定できます。さらに、要求者に承認理由とチケットまたは課題番号の提出を必須にすることで、すべてのアクセスイベントを事業上の正当な理由に結び付ける明確な監査証跡を作成できます。
また、アクセス枠の開始タイミングを定義することもできます。
承認時: 要求が承認された瞬間にアクセスが開始されます
最初の接続時: ユーザーが最初にリソースへ接続したときにアクセスの時間計測が開始されます
シングルユーザーモード
シングルユーザーモードが有効な場合、同時に承認されるのは1ユーザーだけです。リソースが貸出されると、そのユーザーが返却するかアクセスが期限切れになるまで、他のユーザーは貸出できません。
承認者は、リソースを強制返却するオプションも使え、現在のユーザーのアクセスを直ちに取り消せます。
シングルユーザーモードが有効な場合、定義されたアクセス期間中にPAMリソースへの承認済みアクセスを保持できるのは常に1人のユーザーだけです。リソースが貸出されると、元のユーザーが返却するかアクセスが期限切れになるまで、他のユーザーは貸出できません。これにより、セッションの重複が防止され、アクセスがユーザー間で共有・複製されなくなるため、ゼロスタンディング特権を実現できます。
管理者は、現在貸出中のリソースに対して強制返却を実行することもできます。アクセスを直ちに取り消す必要がある場合の、もう一つの統制手段です。
多要素認証 (MFA)
MFAが有効な場合、接続の起動またはトンネル開始前に多要素認証の入力を求められます。ユーザーがKeeperアカウントに設定したMFA方式が使用されます。
多要素認証 (MFA) が有効な場合、ユーザーは接続の起動またはトンネル開始前にステップアップ認証を完了する必要があります。これにより、承認済みのユーザーであってもアクセス時点で本人確認が求められるようになり、高価値な資産の保護とコンプライアンス要件の充足に欠かせない統制となります。
ワークフローが有効なレコードへのアクセス
ワークフローが有効なレコードが別のユーザーと共有されている場合、どのワークフロー設定が有効かによってエンドユーザーの操作は異なります。
エンドユーザーの操作感は、アクセス対象のリソースでワークフローがどのように構成されているかによって異なります。
シングルユーザーモード
ワークフローが有効なレコードが共有されると、通知が届きます。通知をクリックすると、そのレコードに直接移動します。
シングルユーザーモードが有効な場合、レコードに [貸出] ボタンが表示されます。このオプションを選ぶとレコードが自分に貸出され、[起動] ボタンが有効になり、アクセスが失効するまでの残り時間が表示されます。
作業が終わったら手動で返却することもできます。貸出中は他のユーザーはアクセスできないため、セッションの整合性が保たれ、組織全体でゼロスタンディング特権を維持できます。
承認プロセスと正当化
レコードに承認が必要な場合、[アクセスを要求] ボタンが表示されます。
[アクセスを要求] を選択すると、ワークフローの構成に応じて、要求の一部として承認理由とチケットまたは課題番号の入力を求められる場合があります。これにより、すべてのアクセスイベントが検証済みの事業上の正当性に結び付けられ、監査およびコンプライアンス要件を満たせます。要求を送信した後は、ステータスをリアルタイムで追跡したり、承認者にリマインダーを送信したり、要求を取り消したりできます。
承認者には、Keeperボルトの通知センターに即時通知が届き、要求の承認または拒否を促されます。承認はボルトまたは管理コンソールから直接行えるため、追加のツールは不要です。要求が承認されると、申請者のボルトでレコードのステータスが更新され、接続の起動が許可されます。
[アクセスを要求] を選択すると、ワークフローの設定に応じて理由や課題番号の入力が必須になる場合があります。要求を送信したあとは、ステータスの確認、承認者へのリマインダー送信、要求の取り消しができます。
多要素認証 (MFA)
MFAが有効な場合、接続を起動するときに多要素認証コードの入力を求められます。ユーザーがKeeperアカウントに設定したMFA方式が使用されます。
強制返却
シングルユーザーモードが有効でユーザーがレコードを貸出している場合、レコードに設定された承認者は誰でもリソースを強制返却できます。貸出中のユーザーのアクティブな接続はすべて直ちに閉じられ、レコードは利用可能な状態に戻り、別のユーザーが貸出できます。
通知
承認者には、要求を承認または拒否するよう促す通知が届きます。要求が承認されると、申請者のボルトでレコードのステータスが更新され、接続の起動が許可されます。
ワークフローと一時アカウントおよび特権昇格
ジャストインタイムアクセスとゼロスタンディング特権を実現するには、ワークフローと一時アカウントおよび特権昇格を組み合わせます。これらを併用すると、アクセスは時間で区切られ、承認され、セッション終了時に自動削除される一時的な認証情報と昇格権限だけを用いるため、恒久的なアクセスが残りません。
詳しくは以下をご参照ください。
複数の承認者が設定されている場合、アクセスの付与はそのリソースに定義された承認ポリシーに従い、単一の承認者または指定された数の承認者による承認が必要になります。
セッションが終了するか、アクセス枠が期限切れになると、認証情報は自動的にローテーションされます。これによりアクセス終了後のリスクが残らず、環境内のすべてのリソースでゼロスタンディング特権を一貫して適用できます。
最終更新