macOSユーザー

Keeperローテーションを使用したローカルMacユーザーアカウントのローテーション

概要

本ページでは、Keeperローテーションを使用してSSH経由でmacOSアカウントをリモートからローテーションする方法を取り扱います。ローカルネットワークにおけるローテーションの概要については、こちらのページをご参照ください。

要件

以下がすでに完了していることを前提としています。

• ロールでKeeperシークレットマネージャーが有効になっていること
• ロールでKeeperローテーションが有効になっていること
• Keeperシークレットマネージャーアプリケーションが作成済みであること
• Keeperローテーションゲートウェイがインストール済みで稼働しており、SSHでmacOSデバイスと通信できること

1. PAMマシンリソースの設定

Keeperローテーションでは、リンクされた管理者認証情報で、環境内の他のアカウントをローテーションします。このアカウントにドメイン参加や完全な管理者権限は不要ですが、他のアカウントのパスワードを正常に変更できる必要があります。

PAMマシンレコードのフィールド

フィールド	説明
レコードタイプ	PAMマシン
タイトル	My macOS User
ホスト名またはIPアドレス	macOSデバイスのIPアドレスまたはホスト名。ゲートウェイがデバイス上にインストールされている場合は localhost を使用。例: 10.10.10.10、MarysMacBook、localhost
ポート	SSHポート。通常は 22。ローテーションにはSSHが必要
SSLの使用	有効化必須
管理者認証情報	ローテーションを実行する管理者アカウントのユーザー名とパスワード (またはSSHキー) を含む、リンク済みPAMユーザーレコード
オペレーティングシステム	macOSのローテーションでは MacOS を使用

2. PAM構成の設定

環境にPAM構成がすでにある場合は、この手順を省略できます。

ボルトの左メニューで [シークレットマネージャー] を選択し、[PAM構成] タブで新しい構成を作成します。

フィールド	説明
タイトル	構成名。例: MAC Rotation
環境	Local Network を選択
ゲートウェイ	macOSデバイスへSSHアクセスできるゲートウェイを選択
アプリケーションフォルダ	PAM構成を格納する共有フォルダを選択。マシンリソースではなく、PAMユーザーレコードと同じ共有フォルダへの配置を推奨
デフォルトのローテーションスケジュール	オプション

3. PAMユーザーレコードを1件以上設定

Keeperローテーションでは、PAMマシンレコードにリンクされた認証情報で、環境内のPAMユーザーレコードをローテーションします。

PAMユーザーレコードのフィールド

フィールド	説明
レコードタイプ	PAMユーザー
タイトル	Keeperレコードのタイトル
ログイン	ローテーション対象アカウントのユーザー名 (大文字と小文字を区別)。例: msmith
パスワード	アカウントパスワードはオプション。空白の場合はローテーション時に設定
その他のフィールド	空白のまま

4. PAMユーザーレコードでローテーションを構成

PAMユーザーレコードを選択し、編集して [パスワードローテーション設定] を開きます。

• 希望するスケジュールとパスワードの複雑さを選択
• [ローテーション設定] では、以前に設定したPAM構成を使用
• [リソースクレデンシャル] フィールドでは、以前に設定したPAMマシン認証情報を選択
• 保存すると、ローテーションボタンが有効になり、オンデマンドまたは選択したスケジュールでローテーション可能

PAMユーザーレコードに edit 権限を持つユーザーは、そのレコードのローテーションを設定できます。