#### 一時アカウントの動作
1. ユーザーがJITが有効なデータベースへトンネルを開始します。
2. ゲートウェイがランダムなユーザー名の一時データベースユーザーを作成します。
3. 構成済みのロールがエフェメラルユーザーに付与されます。
4. KeeperDBプロキシがエフェメラル認証情報で認証します。
5. セッション終了時にユーザーとロールのメンバーシップが自動でクリーンアップされます。
#### エフェメラルアクセスの構成
1. KeeperPAMリソースのレコードで **\[JIT一時アカウント]** を有効にします。
2. **\[グループとロールの昇格]** を構成します。
* **\[昇格方法]** を `role` に設定します。
* **\[昇格文字列]** をデータベースのロール (カンマ区切り) に設定します。
3. 対象データベースに、適切な権限を持つロールが存在することを確認します。
#### データベースロールの作成
付与する前に、データベース上にロールが存在している必要があります。MySQLの例です。
```sql
-- Create a role
CREATE ROLE 'app_readonly';
-- Grant privileges to the role
GRANT SELECT ON mydb.* TO 'app_readonly';
-- For full access
CREATE ROLE 'app_admin';
GRANT ALL PRIVILEGES ON mydb.* TO 'app_admin';
```
#### MySQLロールの構成
MySQL 8.0以降では、ロールを明示的にアクティブ化する必要があります。一時アカウントを正しく動かすには、以下の設定が必要です。
**必須のMySQL設定:**
```sql
SET GLOBAL activate_all_roles_on_login = ON;
```
**恒久的に有効にする**場合は、MySQLの構成ファイル (`my.cnf`) に以下を追加します。
```sql
[mysqld]
activate_all_roles_on_login = ON
```
本設定がないと、エフェメラルユーザーにはロールが付与されてもアクティブ化されず、データベースにアクセスできません。
#### PostgreSQLおよびSQL Server
MySQLとは異なり、PostgreSQLとSQL Serverでは付与と同時にロールが有効になり、追加の構成は不要です。
## 構成
#### デフォルトの動作
* **アイドルタイムアウト:** 非アクティブが5分続くとセッションを終了する
* **最大継続時間:** セッションの上限は最大1時間
* **最大接続数:** 同時接続は最大100まで
#### 環境変数
* **`KEEPER_GATEWAY_DB_PROXY_IDLE_TIMEOUT_SECS`**
* 説明: セッションのアイドルタイムアウト (秒)
* デフォルト: `300` (5分)
* **`KEEPER_GATEWAY_DB_PROXY_MAX_DURATION_SECS`**
* 説明: セッションの最大継続時間 (秒)
* デフォルト: `3600` (1時間)
* **`KEEPER_GATEWAY_DB_PROXY_MAX_CONNECTIONS`**
* 説明: 許容する同時接続の最大数
* デフォルト: `100`
* **`KEEPER_GATEWAY_DB_PROXY_MAX_QUERIES`**
* 説明: セッションあたりのクエリ数の上限 (0は無制限)
* デフォルト: `0`
* **`KEEPER_GATEWAY_DB_PROXY_SINGLE_CONNECTION`**
* 説明: セッションあたり1接続に限定する
* デフォルト: `false`
## トラブルシューティング
#### 認証情報の入力を求められる
**原因**: プロキシが無効であるか、起動していない可能性があります。
**対処**
1. PAM設定でKeeperDBプロキシ (`allowKeeperDBProxy` など) が有効かどうかを確認します。
2. ゲートウェイのバージョンが1.8.0以降であることを確認します。
3. ゲートウェイのログに `Starting database proxy on-demand...` と出力されているか確認します。
#### 手動認証へのフォールバック
**ログメッセージ:** `Database proxy is enabled but not running - falling back to direct tunnel mode`
**原因:** プロキシの起動に失敗しています。トンネル自体は動作しますが、認証情報の手入力が必要になります。
**対処**
1. ゲートウェイのログでプロキシ起動時のエラーを確認します。
2. ゲートウェイに `keeperdb-proxy` コンポーネントがインストールされているか確認します。
3. 必要に応じてゲートウェイを再起動します。
#### セッションが予期せず切断された
**想定される原因**
* アイドルタイムアウトに達した (デフォルトは5分)
* 最大継続時間に達した (デフォルトは1時間)
**対処**: 用途に合わせてタイムアウト設定を調整してください。
## よくある質問
**パスワードを持たないユーザーはどう接続しますか。**
`localhost:` に、パスワードなしまたはプレースホルダーで接続します。プロキシが接続を受け取り、実際の認証情報を自動で注入します。
**ユーザーはボルトで認証情報を閲覧できますか。**
認証情報の表示はKeeperの権限で制御されます。パスワードを表示する権限がなくても、トンネルへのアクセスだけを付与できます。
**すべてのデータベースクライアントで動作しますか。**
はい。KeeperDBデスクトップ、MySQL Workbench、pgAdmin、Microsoft SQL Studio、Azure Data Studio、DBeaver、コマンドラインクライアント、標準的なデータベースプロトコルで接続するツールで利用できます。
**プロキシが利用できない場合はどうなりますか。**
トンネルは標準モードへ切り替わります。接続は可能ですが、認証情報の手動入力が必要です (ボルトで閲覧権限がある場合)。
**プロキシで一時アカウントは使えますか。**
はい。ボルトでJIT一時アカウントが有効な場合、セッションごとに一時的なデータベースユーザーが作成され、セッション終了時に自動削除されます。恒常的な認証情報が存在しないため、セキュリティ面では最も高い水準になります。
**エフェメラルMySQLユーザーに権限が付きません。理由は何ですか。**
MySQL 8.0以降では、ロールを自動で有効にするために `activate_all_roles_on_login = ON` が必要です。本設定がないと、ロールは付与されてもアクティブ化されません。構成の詳細は、一時アカウントの項をご参照ください。
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://docs.keeper.io/keeperpam/jp/privileged-access-manager/keeperdb-proxy.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.