PAMプロジェクトインポートの検証

リソース作成前のKeeperPAMプロジェクトインポートの検証

プロジェクトを作成する前に、生成されたPAMインポートを必ず検証してください。

pam project import --filename /absolute/path/pam_import.json --name "My PAM Project" --dry-run

絶対パスを指定してください。--dry-run を外してコマンドを実行する前に、Commanderが想定どおりのリソース数とユーザー数を報告することを確認してください。

マシン接続の要件

実際に使用できる pamMachine にするには、管理設定と対話的接続の設定の両方を指定します。

設定	用途	例
port	管理用またはローテーション用のポート	SSHは 22、WinRMは 5986
operating_system	リソースのOS	Linux または Windows
pam_settings.connection.protocol	対話的プロトコル	ssh または rdp
pam_settings.connection.port	対話的セッションのポート	22 または 3389
administrative_credentials	管理操作に使用するPAMユーザー	一意なPAMユーザーのタイトルまたはログイン名
launch_credentials	セッションの起動に使用するPAMユーザー	一意なPAMユーザーのタイトルまたはログイン名

マシンの port と接続の port は、用途が異なります。たとえば、Windowsマシンでは管理にWinRMの 5986 を、対話的セッションにRDPの 3389 を使用できます。

認証情報の参照

administrative_credentials と launch_credentials には、一意なPAMユーザーのタイトルまたはログイン名を指定します。PAMディレクトリに属するユーザーの場合は、Directory Title.User Title の形式を使用します。マシン配下のローカルユーザーの場合は、そのローカルユーザーのタイトルまたはログイン名を使用します。

起動用認証情報を選択させず、セッションユーザーにユーザー名を指定させたい場合は、allow_supply_user を true に設定します。

ローテーション設定

ローテーションを設定しない場合は、rotation_settings を省略してください。空のオブジェクトは使用しないでください。完全なローテーション設定には、ローテーションの種類、有効化の値、スケジュールを含めます。

"rotation_settings": {
  "rotation": "general",
  "enabled": "on",
  "schedule": {
    "type": "on-demand"
  }
}

Commanderが Failed to load rotation schedule と報告した場合や、0/N 件のリソースで停止した場合は、空の rotation_settings オブジェクトを削除して、ドライランを再実行してください。

トラブルシューティング

症状	確認事項
リソースが解析されない	--filename に絶対パスを指定し、JSONファイルを検証してください。
ユーザー数が想定より少ない	CSVジェネレーターの入力で、ユーザー名やタイトルが重複していないか確認してください。
マシンのポートが指定されていない	リソースの port と、プロトコルに応じた接続の port を追加してください。
ローテーション時に管理者不足のエラーが発生する	認証情報の参照を確認し、空のローテーション設定を削除してください。

デモ用のパスワードやプレースホルダーは、実運用の前にすべて置き換えてください。