SailPoint SaaS Connector
SailPoint SaaSコネクターによるKeeperボルトのアイデンティティおよびアクセス管理
概要
SailPoint Identity Security Cloud (ISC) 経由で、Keeperエンタープライズのアイデンティティガバナンスを行えます。
アカウントの集約や個別アカウントの更新に加え、ノード、チーム、ロール、フォルダ、レコードのエンタイトルメントも集約できます。Keeperアカウントの作成、更新、有効化、無効化、削除も行えます。
本連携はまもなく公開予定です (2026年8月予定)。
機能
エンタイトルメント集約
組織内で利用可能なロールの一覧表示
組織内で利用可能なチームの一覧表示
組織内で利用可能なノードの一覧表示
レコードとその権限の一覧表示
フォルダとその権限の一覧表示
アカウント集約
Keeper組織のユーザーをSailPoint上に一覧表示
ユーザーを既存のKeeperボルトエンタイトルメントへマッピング
アカウント更新
SailPointからユーザーを招待し、各ユーザーにKeeperボルトをプロビジョニング
SailPointでユーザーの名前とメールアドレスを更新
SailPointのエンタイトルメント割り当てでロール、チーム、ノードを割り当て
SailPointのレコードおよびフォルダエンタイトルメントのプロビジョニングでレコードとフォルダを共有
SailPoint経由でKeeperボルトへのアクセスを有効化または無効化
アカウントを削除。
sailpoint-app-setupで構成した対象ユーザーへKeeperボルトを移管したあと、該当するKeeperアカウントを削除
活用事例
Keeperボルトへのユーザー招待とレコード共有
Keeperアカウントのセットアップを完了
ユーザーはメールで届いたKeeper招待を承認し、ボルトのセットアップを完了します。
レコードをユーザーに直接共有する前に、ユーザーのボルトがアクティブである必要があります。詳しくは、ユーザーの作成と招待をご参照ください。
要件
Keeperエンタープライズ: ユーザー、チーム、ロール、共有を管理できる管理者アクセスがあること
Keeperコマンダーのサービスモード (API v2): SailPointまたは承認済みのネットワーク経路から到達可能で、有効なサービスモードAPIキーがあること
SailPoint ISC: ソースの作成、相関の構成、集約の実行ができる管理者権限があること
コマンダーサービスモードのセットアップ
ゼロ知識およびエンドツーエンド暗号化を維持するため、コマンダーサービスモードをお客様のインフラ上で稼働させます。SailPointコネクターからKeeperへの通信は、この経路のみを使用します。
sailpoint-app-setup を実行すると、DockerベースのサービスモードのデプロイとSailPoint向け設定をまとめて準備できます。
開始前に
ワークステーションにKeeperコマンダーをインストールします。
ISCから管理するフォルダやレコードの共有、およびエンタープライズユーザーの管理権限を持つ、専用のKeeperサービスアカウントの利用を推奨します。
そのアカウントでコマンダーにログインします。
サービスモードを実行するホストでDockerが利用できることを確認します。
SailPointセットアップの実行
本コマンドは2つのフェーズで実行され、コマンダー専用サービス (SailPoint用の別コンテナなし) を含む docker-compose.yml を書き出します。
フェーズ1 (サービスモード / Docker)
共有フォルダ、Docker構成レコード、KSMアプリケーション、クライアント構成を作成したあと、以下の入力を求めます。
Port
コマンダーサービスモードのローカルポート。デフォルト: 8900
Enable ngrok?
ngrokによる任意の公開URL。デフォルト: No
Ngrok Auth Token
ngrokを有効にした場合は必須
Ngrok Custom Domain
任意 (例: myapp.ngrok.io)。スキップする場合はEnter
Enable Cloudflare?
ngrokが無効の場合のみ表示。デフォルト: No
Cloudflare Tunnel Token
Cloudflareを有効にした場合は必須
Cloudflare Custom Domain
Cloudflareを有効にした場合は必須 (例: commander.company.com)
NgrokとCloudflareは排他です。SailPoint ISC (SaaS) では、サービスモードのURLがSailPointのコネクター実行環境から到達可能である必要があります。コマンダーがプライベートネットワーク上にある場合は、ngrok または Cloudflare Tunnel を有効にし、その公開HTTPS URLをソースの [Keeper Commander Service Mode API URL] に指定します。
キューモード (API v2) は自動的に有効になります。コマンドの許可リストは、ユーザーライフサイクルと共有など、SailPoint向けに安全な操作に限定されます。get、export、find-password などシークレットを扱うコマンドは除外されます。
フェーズ2 (SailPointオプション)
Allow folder shares?
SailPointがフォルダ共有エンタイトルメント (share-folder / nsf-share-folder) を管理できるかどうか。デフォルト: Yes
Allow record shares?
SailPointがレコード共有エンタイトルメント (share-record / nsf-share-record) を管理できるかどうか。デフォルト: Yes
Allow role assignment?
SailPointが enterprise-user / enterprise-role 経由でロールを割り当てられるかどうか。デフォルト: Yes
Allow team assignment?
SailPointが enterprise-user 経由でチームを割り当てられるかどうか。デフォルト: Yes
Transfer target email
SailPointが transfer-user 経由でアカウントを削除する際に、ボルトデータを受け取るアクティブユーザー (必須)
Interval seconds
招待済みユーザーを再確認し、Active になった後にキューされたエンタイトルメントを適用する間隔 (秒)。デフォルト: 60。最小: 15
無効にした機能を呼び出すと、サービスモード側で拒否されます (HTTP 403)。ノードは制限対象外であり、招待や移動向けに --node は常に利用できます。
作成されるリソース (デフォルト):
共有フォルダ
Commander Service Mode - SailPoint
KSMアプリケーション
Commander Service Mode - KSM App
Docker構成レコード
Commander Service Mode Docker Config
SailPoint構成レコード
Commander Service Mode SailPoint Config
Dockerサービス / コンテナ
commander-sailpoint / keeper-service-sailpoint
セットアップを再実行すると docker-compose.yml は上書きされます (手動編集は失われます)。SailPoint構成レコード上のキュー済み保留エンタイトルメントは保持されます。
デプロイ
Docker起動前にローカルの config.json を削除し、同一のデバイストークンによる競合を避けます。Dockerコンテナ側の構成はKSM経由で読み込まれます。
ISCソース用の値
サービスが正常になったあと、以下の値を使用します。
Keeper Commander Service Mode API URL:
/api/v2/を含まない公開ベースURL (ngrok/Cloudflareを有効にした場合はそのトンネルURL、それ以外は到達可能なホストURL)Keeper Commander Service Mode API Key: セットアップ時に作成されたDocker/サービス構成レコードから取得 (コンテナがサービスモードを開始したあと、ボルト内に保存)
これらの値をソース構成で使用します。
遅延エンタイトルメント (招待済みユーザー)
ユーザーがActiveになるまで、一部のエンタイトルメントは完全には適用できません。ユーザーがまだInvitedの間に要求されたロール、チーム、フォルダ、レコードの付与はキューに入り、アクティベーション後 (フェーズ2のポーリング間隔) に適用されます。
これはISCの作成時の挙動と同じです。作成時に指定した初期のロール / チームも、ユーザーがアクティブになった時点で適用されます。
任意のCLIフラグ
--folder-name
共有フォルダ名
--app-name
KSMアプリケーション名
--config-record-name
Docker/サービス構成レコード名
--sailpoint-record-name
SailPoint構成レコード名
--config-path
コマンダーの config.json へのパス
--timeout
デバイスのタイムアウト (デフォルト: 30d)
--skip-device-setup
すでに構成済みの場合にデバイス登録をスキップ
ソース構成
管理者資格情報でSailPointにログインし、[Admin] → [Sources] に移動します。
[Sources] ページで [Create New] をクリックします。[Keeper Security] を検索し、[Configure] を選択します。
[Source Name]、[Description]、[Owner] を設定してソースを構成し、[Continue] をクリックします。
[Configuration] で、Keeperコマンダーサービスモードの認証情報を設定します。
構成が完了したら、[Review and Test] をクリックして、サービスモードとSailPoint間の接続を確認します。
エンタイトルメント集約
サービスモードとSailPointの接続を確立したあと、エンタイトルメント集約を実行します。
この手順により、利用可能なノード、ロール、チーム、レコード、フォルダとその権限が一覧化されます。
Keeper Security SaaSコネクターで利用できるエンタイトルメントタイプは以下です。
エンタイトルメントタイプ
Node
Keeperエンタープライズ階層内の組織単位。各ユーザーは1つのノードに所属
Team
Keeperユーザーのグループ。このエンタイトルメントを割り当てると、ユーザーがチームに追加される
Role
Keeperのロール。このエンタイトルメントを割り当てると、その権限が付与される
Folder
共有フォルダへのアクセス (割り当てられた権限レベルを含む)。従来型および階層型共有フォルダ (NSF) に対応
Record
ユーザーに直接共有されたレコード (割り当てられた権限レベルを含む)。従来型および階層型共有フォルダ (NSF) に対応
[Entitlement Management] で [Entitlement Aggregation] をクリックし、[Start Aggregation] をクリックします。
エンタイトルメント集約の完了後、[Entitlements] でエンタイトルメントを確認できます。
アカウント集約
エンタイトルメント集約の完了後、アカウント集約を実行します。Keeperエンタープライズからユーザーをインポートし、各ユーザーを割り当て済みのエンタイトルメントおよび既存のアクセスにマッピングします。
[Account Management] で [Account Aggregation] をクリックし、[Start Aggregation] をクリックします。
集約の完了後、[Accounts] でアカウントを確認できます。
ユーザーを選択すると、割り当て済みのエンタイトルメントを確認できます。
エンタイトルメントの割り当て
エンタイトルメントは、以下の手順で割り当てます。
SailPointでアクセスプロファイルを作成します。SailPoint公式ドキュメントをご参照ください。
アクセスプロファイルの [Manage] → [Entitlements] で、アクセスプロファイルに割り当てるエンタイトルメントを選択します。
アクセスプロファイルの構成後、SailPointロールを作成します。アクセスプロファイルを追加し、そのエンタイトルメントが必要なユーザーを割り当てます。ロール作成に関するSailPoint公式ドキュメントをご参照ください。
[Manage Access] で、先ほど作成したアクセスプロファイルを追加します。
[Define Assignment] をクリックし、エンタイトルメントが必要なアカウントまたはアイデンティティを追加します。
構成が完了したら、[Enable Role] をオンにして変更を適用します。エンタイトルメントがプロビジョニングされ、SailPointロールで構成したチーム、ロール、レコードがユーザーに割り当てられます。
トラブルシューティングとログ
プロビジョニングのアクティビティやエラーは、[Admin] → [Identity Management] → [Activities] で確認できます。
最終更新