> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/privileged-access-manager/password-rotation/service-management.md).

# サービス管理

## 概要

KeeperPAMパスワードローテーションで、Windowsサービス、スケジュールタスク、IISプールの「log on」認証情報を自動的に管理できます。

特定の**PAMユーザー**レコードのローテーションが実行されると、関連するPAMマシン上のすべてのサービスおよびスケジュールタスクの認証情報がKeeperゲートウェイにより更新され、サービスが再起動されます。1つの**PAMユーザー**レコードは複数の**PAMマシン**レコードに関連付けでき、サーバー群全体のサービスおよびスケジュールタスクをまとめて更新できます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FbjlTdbvdfIYe2Wc9kq3X%2Fimage.png?alt=media&#x26;token=6cc8fb96-263c-40c2-a948-b6192017b78c" alt=""><figcaption><p>Windowsサービス管理</p></figcaption></figure>

## 要件

以下のタスクが既に完了していることを前提としています。

* ロールに対して[ローテーションの強制適用](/keeperpam/jp/privileged-access-manager/getting-started/enforcement-policies.md)が設定されている
* Keeperシークレットマネージャー[アプリケーション](/keeperpam/jp/privileged-access-manager/getting-started/applications.md)が作成されている
* Keeper[ゲートウェイ](/keeperpam/jp/privileged-access-manager/getting-started/gateways.md)がオンラインである
* KeeperゲートウェイがWinRMまたはSSHを通じてターゲットマシンと通信できること
  * **WinRM**: ポート5986で有効で実行中
    * **確認方法**: `winrm get winrm/config` コマンドを実行してWinRMが実行中であることを確認します。インストールの手順については、[WinRM設定のページ](/keeperpam/jp/privileged-access-manager/references/setting-up-winrm.md)をご参照ください。
  * **または**
  * **SSH**: ポート22で有効で実行中
    * **確認方法**: `ssh [your-user]@[your-machine] -p 22` コマンドを実行してSSHが実行中であることを確認します。
* 管理対象のすべてのWindowsベースのPAMマシンレコードのオペレーティングシステムフィールドは「windows」に設定されている必要があります。

## セットアップ

サービスアカウントおよびスケジュールタスクの管理は、PAMユーザーレコードをボルト内の1つ以上のPAMマシンレコードに関連付けることで行います。このマッピングにより、各マシン上で当該ユーザーとして実行中のサービスが検索され、パスワードが更新され、サービスが再起動されます。

{% hint style="info" %}
リソース上でサービス、スケジュールタスク、IISプールを管理するには、PAMマシンレコードを使用していることを確認してください。異なる種類のリソース (データベース、ディレクトリなど) を使用している場合は、同じPAMユーザーに関連付けられた別のPAMマシンリソースを作成することができます。
{% endhint %}

### ボルトの使用 <a href="#using-vault" id="using-vault"></a>

ボルト内の**PAMユーザーレコード**を開き、**\[レコードタイプ]** ドロップダウンから **\[ユーザー]** を選択し、**\[ローテーション設定]** の下にある **\[編集]** をクリックします。

<figure><img src="/files/Vf1f7F5E8egJABQQK6u9" alt=""><figcaption><p>Windowsサービス、スケジュールタスク、IISプールを有効にするチェックボックス</p></figcaption></figure>

**\[Windowsシステム上のサービス、スケジュールタスク、IISプールを更新する]** のチェックボックスをオンにします。

<figure><img src="/files/KpQFhysDLtldmVH0FVBb" alt=""><figcaption><p>このユーザーに関連付けるWindowsマシンの選択</p></figcaption></figure>

次に、利用可能な共有フォルダの一覧が表示されます。このユーザーに関連付けるWindowsマシンを含む**共有フォルダ**を選択します。対象のサービスアカウントに必要なマシンを任意の数だけ追加できます。**\[更新]** をクリックして変更を適用します。

<figure><img src="/files/RzHfnsAfiNh45p9knopG" alt=""><figcaption><p>選択したフォルダの管理</p></figcaption></figure>

保存すると、ユーザーのプロファイルに「サービスアカウント」カードが表示され、このアカウントに関連付けられたWindowsマシンの数が示されます。

<figure><img src="/files/1LOXeGNFCkney5GGyzaY" alt="" width="375"><figcaption></figcaption></figure>

**\[表示]** ボタンをクリックすると、このサービスアカウントにリンクされたすべてのマシンの読み取り専用サマリーが開きます。

<figure><img src="/files/QfY5mpDCphzW8sXMkWyU" alt=""><figcaption><p>サービスマシンのサマリー</p></figcaption></figure>

マシンサマリービューから **\[すべての依存関係を表示]** をクリックすると、ボルトのKeeperシークレットマネージャーセクションにある**サービスアカウント依存関係**タブに移動します。左側のナビゲーションメニューから **\[Keeper Secrets Manager]** タブを選択して直接移動することもできます。

この中央ビューでは、すべてのPAMユーザーのサービスアカウント関連付けを一か所で確認できます。ここでは以下の操作が可能です。

* 特定のユーザー、マシン、または共有フォルダに絞り込んで一覧を表示
* 依存関係の詳細パネルで各関連付けの詳細を確認

<figure><img src="/files/argsVSmlonwgrtK1TtRc" alt=""><figcaption></figcaption></figure>

**ローテーションの動作**

構成後、PAMユーザーのパスワードをローテーションすると、以下が実行されます。

1. ターゲットマシン上の関連するすべてのWindowsサービス、スケジュールタスク、IISプールの\*\*「log on」認証情報\*\*が更新されます。
2. **稼働中のサービス**は、新しい認証情報を適用するために自動的に再起動されます。
3. **すでに停止していた**サービスは停止したままです。自動的に起動されません。

### 検出の使用 <a href="#using-discovery" id="using-discovery"></a>

[検出ジョブ](/keeperpam/jp/privileged-access-manager/discovery.md)を実行すると、パスワードのローテーション時に更新が必要なサービスやスケジュールタスクが自動的に検出されます。

検出を使用しない場合は、コマンダーCLIの `pam action service` コマンドで直接管理できます。

### コマンダーCLIの使用

Keeperコマンダーでは、サービスやスケジュールタスクを関連付けるためのコマンドがあり、パスワードローテーションが行われると、サービスの更新と再起動が自動的に実行されます。

#### コマンダーのインストール

Keeperコマンダーをまだセットアップしていない場合は、[インストール手順](/keeperpam/jp/commander-cli/commander-installation-setup.md)に従ってください。

#### ゲートウェイUIDの取得

`pam gateway list` コマンドを使用して、サービスやスケジュールタスクが存在するマシンを管理しているゲートウェイのUIDを確認します。以下の手順でこのUIDが必要になります。

```
My Vault> pam gateway list

KSM Application Name (UID)   Gateway Name    Gateway UID             Status
--------------------------   ------------    ----------------------  --------
My Application1              East Cost       oVCr3n7qV8uARjwSqBQBBw  ONLINE
My Application2              West Coast      qSiGWa55QVaGEv3_xAO3UA  ONLINE
My Application3              GovCloud        31t78gWKRQeY54l0u1sbMA  ONLINE
My Application4              Tokyo           2XT9aKlYTLOyTnVlpny-dA  ONLINE
```

#### PAMマシンとPAMユーザーUIDの取得

PAMマシンおよびPAMユーザーのUIDは、コマンダーでフォルダ内の `ls -l` コマンドを実行するか、`search` コマンドを使用して確認できます。

また、Keeperボルトの「レコード情報」画面からもUIDを確認できます。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FgDwWkDaltvG23QeYulNW%2Fimage.png?alt=media&#x26;token=8dd1edf2-5139-4860-a806-81a062b286b4" alt=""><figcaption><p>レコードUID</p></figcaption></figure>

#### サービス管理用コマンド

`pam action service` コマンドで、特定のネットワーク内のマシンおよびユーザーに対するサービスおよびスケジュールタスクの更新を指示します。

```
My Vault> pam action service
pam command [--options]

Command    Description
---------  ------------------------------------------
list       List all mappings
add        Add a user and machine to the mapping
remove     Remove a user and machine from the mapping
```

#### サービス、タスク、IISの追加

特定のマシン上のサービスおよびスケジュールタスクを更新・再起動するには、以下の構文を使用します。

{% code overflow="wrap" %}

```
pam action service add -g <Gateway_UID> -m <Machine_UID> -u <User_UID> -t service
pam action service add -g <Gateway_UID> -m <Machine_UID> -u <User_UID> -t task
pam action service add -g <Gateway_UID> -m <Machine_UID> -u <User_UID> -t iis
```

{% endcode %}

#### サービス、タスク、IISの削除

マシン上のサービスおよびスケジュールタスクとの関連付けを解除するには、以下の構文を使用します。

{% code overflow="wrap" %}

```
pam action service remove -g <Gateway_UID> -m <Machine_UID> -u <User_UID) -t service
pam action service remove -g <Gateway_UID> -m <Machine_UID> -u <User_UID) -t task
pam action service remove -g <Gateway_UID> -m <Machine_UID> -u <User_UID) -t iis
```

{% endcode %}

#### マッピングの一覧表示

サービスやタスクの管理が必要なゲートウェイ、マシン、ユーザーアカウント間の現在のマッピングを表示するには、`pam action service list` コマンドを使用します。

```
My Vault> pam action service list -g oVCr3n7qV8uARjwSqBQBBw

User Mapping
  Local service user - testuser (pEFr_dJn5EAc3MT_v30DQw)
    * Lureydemo.com Server (CrvdntH-f9mIcraY1InGiw) : Services, Scheduled Tasks
    * Windows 2022 Server  (U3fHEK2i7LIkWZAzANz2sA) : Services, Scheduled Tasks
```

#### サービス更新の実行

PAMユーザーアカウントのパスワードをローテーションするには、ボルトのユーザーインターフェースから **\[ローテーション]** ボタンをクリックします。

<figure><img src="https://859776093-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPL6k1aGsLiFiiJ3Y7zCl%2Fuploads%2FZWvf8wgEnEdvq5QHywfo%2Fimage.png?alt=media&#x26;token=326f0919-6d69-49c6-9a08-59ab3755c523" alt=""><figcaption><p>Windows認証情報をローテーション</p></figcaption></figure>

コマンダーから実行する場合は、`pam action rotate` コマンドを使用します。

```
My Vault> pam action rotate -r pEFr_dJn5EAc3MT_v30DQw
Scheduled action id: +dXjf690oGKgg==
```

ローテーションジョブのステータスを確認するには、ボルトのUIを確認するか、`pam action job-info` コマンドを実行してください。

```
My Vault> pam action job-info +dXjf690oGKgg== --gateway=oVCr3n7qV8uARjwSqBQBBw
Job id to check [+dXjf690oGKgg==]

Execution Details
-------------------------
Status              : finished
Duration            : 0:01:01.923147
Response Message    : Rotation completed for record uid XXX with post-execution
```

### トラブルシューティング

#### サービスの再起動

停止中のサービスをKeeperが起動することはありません。「log on」認証情報を更新した後、稼働中のサービスのみが再起動されます。

サービスの認証情報更新で問題が発生した場合は、以下をご確認ください。

* 対象のWindowsサーバーで、オペレーティングシステムフィールドが `windows` に設定されていること
* KeeperゲートウェイからPAMマシンへWinRMまたはSSHで通信できること
* **\[イベント ビューアー]** > **\[Windows ログ]** > **\[アプリケーション]** イベントにエラーメッセージがないこと
* サービスおよびスケジュールタスクの管理にPAMマシンレコードを使用していること


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.keeper.io/keeperpam/jp/privileged-access-manager/password-rotation/service-management.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.