KeeperDB
パスワードレスのゼロトラストデータベースアクセス、監視、KeeperDBによるAI支援管理
概要
KeeperDBは、Keeperのゼロ知識プラットフォーム上に構築された、安全なマルチプロトコル対応のデータベース管理ツールです。形態は2つあります。KeeperPAMのレコードから自動で起動する埋め込みセッションと、macOS・Windows・Linux向けのスタンドアロンデスクトップアプリです。
特権データベースへのアクセスは、これまで企業のセキュリティ体制のなかで最も弱い部分でした。認証情報はノートPC上の平文ファイル、キーチェーン、付箋、誰もローテーションしない共有パスワードボルトなどに散在します。接続は監視されていないTCPを通り、セッション内の操作はセキュリティチームから見えません。KeeperDBなら、DBAが使いたくなるデータベースクライアントの使い勝手を保ったまま、これらの穴を塞げます。
KeeperDBとは
KeeperDBは、Keeperプラットフォームに組み込まれた、フル機能のデータベースクライアント兼運用監視ツールです。
ボルトとのゼロ知識連携
ボルトからセッションを直接起動でき、パスワードなしでアクセスできます。データベースレコードの認証情報はお客様のゲートウェイ内で復号され、暗号化チャネル経由でKeeperDBに渡されます。接続はセッション録画や、KeeperAIによるセッション分析向けに設定できます。
ユーザーがPAMデータベース接続を起動すると、Keeperゲートウェイ上でKeeperDBがサイドカープロセスとして起動され、Keeperのリモートブラウザ分離 (RBI) を通じてブラウザに画面が配信されます。セッション全体は、ほかの特権操作と同様に記録されます。
単一UIからのマルチプロトコル
同一のクエリエディター、データグリッド、ER図、スクラッチパッドのノート、パフォーマンスモニターを、PostgreSQL、MySQL、SQL Server、Oracle、Redshift、SQLiteで共通して使えます。異種混在の環境を扱うDBAが、アプリを切り替えずに済みます。
DBAコパイロットとしてのKeeperAI
スキーマを把握した埋め込みアシスタントにより、自然言語の質問への回答、ユーザーの代わりのクエリ作成・実行、結果からのチャート生成ができます。話題外のコード生成や、明示的な承認なしの破壊的操作は、サーバー側のガードレールで禁止されます。
2つのデプロイ形態、同一の操作感
KeeperDBは以下の2通りで利用できます。ボルトへの埋め込みとスタンドアロンデスクトップアプリです。いずれも同じインターフェース、機能、セキュリティモデルを利用できます。
ビジュアルテーマで、好みに応じた見た目に変更できます。
KeeperPAMへの埋め込み (特権セッション)
規制対象のゼロトラスト環境向けの配備方法です。ユーザーはボルトを開き、レコード (例: 「本番 SQL Server」) を見つけて [KeeperDBを起動] をクリックします。
スタンドアロンデスクトップアプリ (Mac / Windows / Linux)
クロスプラットフォームのネイティブデスクトップアプリです。主な用途は以下のとおりです。
まだKeeperPAMを導入していないKeeperのお客様: ボルト連携で認証情報を取得できる、安全な最新のDBクライアントを使いたい場合
DBA、データエンジニア、開発者: 平文でパスワードを保存する不安定なシェアウェアではなく、日々使えるクライアントが必要な場合
コンサルタントや請負者: 複数顧客のDBに接続し、顧客ごとに認証情報を分離して混在を防ぎたい場合
KeeperDB Desktopのダウンロード
デスクトップアプリからデータベースに接続する方法は3つあります。
直接接続: ユーザーが一度入力した認証情報をOS標準のセキュアストアに保存します。DBeaverなどに慣れた人向けの、もっともシンプルな流れです。認証情報は安全に保管されます。
ボルト連携: アプリからユーザーのKeeperアカウントで認証し、PAMデータベースレコードを一覧表示します。クリック時に取得した一時または静的な認証情報でセッションを開始し、キャッシュはしません。
PAMレコード上のKeeperDBプロキシ: 後述のセクションで取り扱います。
活用事例: KeeperDBトンネル
すでにKeeperトンネルで内部データベースをゲートウェイ経由で公開しているお客様にとって、KeeperDBは自然なフロントエンドです。トンネル経由のデータベースはユーザー端末ではローカルに見え、127.0.0.1:<port> へ接続するだけで利用できます。トラフィックはすべてKeeperのゼロトラスト / ゼロ知識の暗号化を通り、インバウンドのファイアウォール規則もVPNも不要です。
デスクトップのKeeperDBアプリから、トンネル先エンドポイントへ、通常の直接接続と同じ手順で接続できます。
ボルト連携と組み合わせると、流れは以下のようになります。
ユーザーがボルトのPAMデータベースレコードで [トンネルを開始] をクリックします。
Keeperゲートウェイ上でゼロトラストトンネルが確立され、ローカルポートがボルトに返されます。
ユーザーがKeeperDBアプリに localhost とローカルポートを入力します。
ノートPCと対象データベースの間のトラフィックはすべて認証され、エンドツーエンドで暗号化され、Keeperの特権セッションとして記録されます。
活用事例: PAMレコードでのKeeperDBプロキシ
デスクトップアプリの操作感と、KeeperPAMの「認証情報を端末に置かない」「セッションを記録する」という保証を両立したいお客様向けに、PAMデータベースレコードでKeeperDBプロキシを有効にします。
レコードでKeeperDBプロキシが有効な場合の動きは以下のとおりです。
ゲートウェイ上に、そのレコードのプロトコル (MySQL / PostgreSQL / MSSQLのワイヤプロトコル) 用のKeeperDBプロキシリスナーが起動されます。
ユーザーのデスクトップKeeperDBアプリからの接続はプロキシに送られます。プロキシ側でKeeper認証と、ゲートウェイ側での認証情報取得が行われ、プロトコルのハンドシェイクに注入されたうえで、対象データベースへ転送されます。
デスクトップのKeeperDBアプリではプロキシのエンドポイントを指定します。実際の認証情報は表示されず、ユーザーが入力することもありません。 一方で、ネイティブアプリの操作感、OSレベルのキーボードショートカット、帯域制限のない通信、RBIのオーバーヘッドなしの長時間エクスポートはそのまま利用できます。
社内のDBAやSREが、毎日同じ本番データベースを扱う構成として推奨です。
キーチェーンにパスワードを置かない
ターミナル履歴にパスワードを残さない
コンプライアンス向けにセッションを完全記録
デスクトップ性能 (大型ER図、長時間エクスポート、ギガバイト級の結果グリッド、ローカルファイルシステム上でのオフラインノートブック作業)
詳しくはKeeperDBプロキシをご参照ください。
対応データベース
KeeperDBでは、各プロトコルをネイティブドライバで扱えます。ODBCもJDBCブリッジも、ユーザー端末へのドライバインストールも不要です。
PostgreSQL
TLS、SCRAM-SHA-256、現行の認証方式に対応
MySQL / MariaDB
DDL互換のテキストプロトコル、データ用バイナリプロトコル
SQL Server
Azure SQL、AWS RDS、オンプレ。WindowsおよびSQL Server認証
Oracle
Autonomous DBやExadata Cloudを含む
Amazon Redshift
Redshift特有の挙動に対応
SQLite
ファイルまたはインメモリ。ローカルの作業用に適する
MongoDB
MongoDB AtlasおよびTLS対応のセルフホスト構成を含む
Amazon DynamoDB
AWS認証は以下の2通りです。
Access Key + Secret Key
Access Key + Secret Key + STS token
ユーザー体験
セッションの起動方法にかかわらず、同じ画面が表示されます。サイドバーにスキーマとテーブルが表示され、上部タブで [クエリ]、[データ]、[ノートブック]、[監視]、[グラフ] を切り替えます。歯車アイコンから [設定]、吹き出しアイコンからKeeperAIを開きます。
クエリエディター
[クエリ] タブはSQLワークスペースです。シンタックスハイライト、オートコンプリート、複数文の実行、表形式とレコード形式の切り替えが使えます。
複数文の実行: マイグレーションスクリプトを貼り付け、[実行] で文ごとの結果を取得
破壊的クエリの確認:
SELECT以外は、実行前にモーダルで内容を一覧表示セッション単位のクエリ履歴: 現在のユーザーセッションに紐づく。ユーザー単位またはリソース単位の永続化は、データベースレコードのPAM設定に依存
データグリッド
サイドバーのテーブルをクリックすると、[データ] タブでページング付きのテーブルブラウザが表示されます。
ページング: 既定は50行。設定で数千行まで拡張可
セル内編集: セルをダブルクリックして値を編集し、実行前にプレビュー付きの
UPDATE文を生成CSV、JSON、SQL INSERTへのエクスポート: 現在のフィルタ / ページ状態からそのまま出力
スキーマエクスプローラーとER図
サイドバーは、検索・並べ替え可能なスキーマとテーブルのツリーです。スキーマをクリックしてテーブル一覧を表示し、テーブルにホバーして行数とサイズを確認し、オーバーフロー [...] からテーブル定義と CREATE 文を表示します。
ノートブック (スクラッチパッド)
単一クエリに収まらない作業向けです。ノートブックはSQLセルとMarkdownセルを持つ、ユーザー単位の永続スクラッチパッドで、2秒ごとに自動保存されます。
調査用の再利用クエリを蓄積
Markdownで、SQLと並べて所見を記述
他のセルの状態を失わずに、セル単位で再実行
ユーザー単位またはレコード単位の永続化は、PAMデータベース構成に依存
パフォーマンスモニター
[監視] タブはリアルタイムの運用ダッシュボードです。データベースに負荷が集中しているときに開きたい画面です。
トップクエリのセクションでは、実行時間の長いクエリのクエリ時間とレイテンシを確認できます。
データベースごとに、監視機能はわずかに異なります。
アクティブプロセス一覧
✅
✅
✅
✅
✅
—
ブロッキングチェーン
✅
✅
✅
✅
✅
—
ロック分析
✅
✅
✅
✅
✅
—
セッション終了
✅
✅
✅
✅
✅
—
サーバーパラメータの確認
✅
✅
✅
✅
✅
—
AI支援トリアージ
✅
✅
✅
✅
✅
—
実行中の各プロセスには、接続ID、ユーザー、データベース、現在実行中のSQL、経過時間が表示されます。ブロッキングチェーンのブロッカーをクリックすると全文脈を表示します。[Kill] でセッションを終了します (確認あり)。
KeeperAI: 埋め込みDBAコパイロット
KeeperAIはKeeperDBに統合されたAIアシスタントです。画面右側のチャットパネルとして開き、接続先スキーマを把握したうえで、以下の3モードで利用できます。
チャットモード: 自然言語で質問すると、文章で回答します (必要ならSQLも併記)。
自律モード: クエリではなく成果を依頼します。KeeperAI側でSQLの作成、データベースへの実行、結果の読み取りが行われ、必要なら繰り返されます。読み取り専用は確認なしで実行され、書き込みは人が書いた場合と同じ破壊的クエリの確認モーダルが表示されます。
説明モード: SQLを貼り付けて解説を求めます。同僚のマイグレーションのレビューや、レガシースキーマへのオンボーディングに便利です。
対応AIプロバイダ
KeeperAIではプロバイダを差し替えられます。管理者が、データガバナンスに合うベンダーを選びます。
OpenAI
OpenAI互換エンドポイント (セルフホストなど)
Anthropic
Google Gemini
Microsoft Azure OpenAI
AWS Bedrock (Claude、Llama、Titan など)
Google Vertex AI
KeeperゲートウェイでKeeperAIを有効化する手順は、LLMプロバイダのセットアップ手順をご参照ください。
KeeperAIのチャート生成
自律モードで 「過去30日の製品カテゴリ別売上を表示」 と依頼すると、KeeperAI側で以下が行われます。
スキーマを調べ、関連テーブルを特定する
集計SQLを作成して実行する
結果を棒グラフとして表す
chartJSON仕様を出力するチャットパネル内にチャートを描画する
対応チャート種別は bar、line、pie、area、scatter です。根拠となるデータはライブクエリから直接取得され、数値の捏造はありません。
パフォーマンスモニターでのKeeperAI
[監視] タブから [KeeperAIでトリアージ] を実行すると、現在のプロセス一覧、ブロッキングチェーン、サーバーパラメータがプロンプトにまとめられ、AIに 「何が悪く、このあとどう動くべきか」 を要約させられます。終了候補のクエリ、不足しているインデックス、誤設定のパラメータが提案されます。
KeeperAIのスコープガードレール
KeeperAIの対象はデータベース作業に限られます。SQL、スキーマ設計、インデックス、クエリ最適化、パフォーマンスチューニング、トラブルシューティング、データベース理論に関する質問に回答できます。
KeeperAIとセッション録画 / 監視
KeeperPAMでは、セッション録画と再生機能により、特権セッションのすべてのキーストロークと画面操作がすでに記録されています。KeeperDBでは、KeeperDBセッション内のAIエージェント操作を含め、すべてのデータベース操作を記録および監視できます。
AIが実行したSQL文は、人が入力した文と同じ方法で記録されます
AIが開始した破壊的な文でも、人がクリックするのと同じ確認モーダルが表示されます。書き込みの最終承認者は常にユーザーです
チャート、説明、自律的な反復はセッション録画に含まれるため、コンプライアンス担当者は実施された操作を再構築できます
セッションサマリーが生成され、すべての操作の詳細なセッションログが記録されます
セキュリティ上の利点
認証情報をエンドポイントに残さない
盗難ノートPC、フォレンジックディスクイメージ
ディスク上に認証情報なし。メモリ上のパスワード素材は切断時に zeroize
シェル履歴や設定ファイルの漏えい
ローカルに認証情報を保存しない
Gitにコミットされた接続文字列
コミットする接続文字列そのものが存在しない
共有パスワードの蔓延
起動のたびにボルトから現行パスワードを取得。1回ローテートすれば全員が新値を使う
請負者のオフボーディング
ボルト共有を取り消すだけ。データベースパスワードのローテートは不要
ゼロ知識とユーザー単位の分離
KeeperDBはKeeperのゼロ知識設計に基づきます。シークレットの復号はユーザーのデバイスまたはお客様のゲートウェイ内のみで行われ、Keeperのサーバー上では行われません。ゲートウェイを複数ユーザーで共有する場合も、スクラッチパッド、設定、スキーマキャッシュはユーザーごとに分離されます。
監査の網羅
特権セッション録画 (KeeperPAM経由): 描画された各フレームを記録
構造化監査ログ (インメモリのリングバッファ、セッション単位): クエリ操作を記録
KeeperAIスコープログ: ガードレールの判定を記録
KSMアクセスログ (Keeperの通常のKSM監査証跡): ボルトからの認証情報取得を記録
これらを合わせると、規制業界の 「誰が、いつ、どのデータベースに対して何を実行し、変更を誰が承認したか」 に、フォレンジック調査なしで答えられます。
なぜDBeaver / DataGrip / TablePlusだけでは足りないか
汎用のデータベースクライアントは、自分のサンドボックスDBに接続する開発者には適しています。エンタープライズ規模では力不足になりがちです。
認証情報の保存
ローカルキーチェーン / JSONワークスペース
クライアントに保存しない
認証情報のローテート
ユーザーが手で再入力
ボルトを1回更新すれば全員が最新
請負者のオフボーディング
データベースパスワードをローテート
ボルト共有を取り消す
セッション録画
なし
あり (KeeperPAM経由)
DBA向けAI
有償アドオンでベンダークラウドへスキーマ送信
同梱。お客様のAIプロバイダに固定可能
複数DBのカバー
プラグイン依存でバラつきがち
複数プロトコルを単一UIで
パフォーマンスモニター
別ツールまたは未実装
内蔵
ゼロトラストなネットワーク
VPN / 踏み台が必要
Keeperトンネルで動作
エンドポイントへの導入負荷
ドライバ、JDBC jar、ODBCブリッジ
ローカルドライバ不要。すべて同梱
コンプライアンス監査
クライアント側ログがあれば限定的
中央集約、サーバー強制、改ざん耐性
はじめに
KeeperPAMレコードから
ボルトでPAMデータベースレコードを開きます。
[KeeperDBを起動] をクリックします。
RBIのタブが開き、接続済みのKeeperDBが表示されます。
ユーザー側のセットアップは不要です。管理者がレコードを一度構成すれば (ホスト、ポート、プロトコル、認証情報、JIT、ワークフロー、KeeperAI)、ゲートウェイ側のポリシーで起動権限を制御できます。
よくある質問
最終更新