> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/release-notes/jp/enterprise/endpoint-privilege-manager/endpoint-privilege-manager-2.5.md).

# エンドポイント特権マネージャー 2.5.0

2026年11月12日リリース

### 概要

本リリースでは、Windows、macOS、Linuxにわたるエンドポイントのガバナンス、Windowsの権限昇格、ディレクトリ連携を強化しました。あわせて、拡張性と信頼性の向上、および報告された脆弱性の修正も含まれています。

#### プラットフォーム全体でのAIガバナンスを強化

エージェント型AIポリシーおよびエージェントアクセスポリシーの適用が、Windows、macOS、Linuxでより一貫したものになりました。エージェント型ポリシーは、アプリケーションとその子プロセスの両方で設定済みのAI可能性しきい値を尊重し、子プログラムをポリシーの子リストと照合し、各承認を1回だけ適用します。

* エージェント型の制御は、アプリケーションが設定済みのAI可能性しきい値を満たす場合にのみ適用されます。しきい値を下回るアプリケーションは、子プロセスを含め、通常のファイルアクセスまたは権限昇格のポリシーに従うため、不要なプロンプトが減ります。
* 子プロセスは、起動元のエージェントを基準に分類されます。エージェントに属するヘルパープロセスは別のエージェント起動として扱われず、無関係なプロセスがエージェント型ポリシーの対象になることもありません。
* 承認、MFA、理由の入力、ポータル承認のフローは、承認された起動に対して1回で完了します。完了済みの承認は同じ許可に対して再度求められず、エージェント型AIのアクティビティは監査証跡にエージェント型AIとして記録されます。
* エージェント型特権昇格は、そのポリシーに一致した場合、独自の制御と監査記録を維持します。ベースラインの昇格ルールは、拒否すべき場合には引き続き拒否し、エージェント型の判定に置き換わることはありません。

#### Windowsの権限昇格を拡張

Windowsの権限昇格は、Keeperユーザーセッションマネージャーが監督します。承認された昇格は、それぞれユーザーの対話型セッションで実行されます。セッションマネージャーは、承認されたアプリケーションが起動した子プロセスを含む昇格済みワークロードを追跡し、アプリケーションの終了時にセッションを削除します。Keeper特権マネージャーを停止すると、進行中の管理対象セッションが終了し、残りのクリーンアップは次回の起動時に完了します。

IDモードは2種類あります。

* **管理対象アカウント (デフォルト):** 昇格ごとにジャストインタイムの管理者アカウントと専用のプロファイルを使用します。アカウントとプロファイルはアプリケーションの終了時に削除されます。分離されたパスであり、ユーザーのプロファイルに対する昇格ごとの権限変更が不要なため、起動時のオーバーヘッドも軽減されます。
* **現在のユーザー:** ポリシーで有効にすると、サインインしているユーザー自身のID、プロファイル、権限で、そのセッションの管理者権限を付与して昇格を実行します。ユーザーのプロファイル、マッピングされたデータ、ユーザー固有の権限を必要とするアプリケーションを、別の昇格用アカウントなしで実行できます。このモードは、適用される昇格ポリシーが要求した場合にのみ使用されます。対象のパッケージ化アプリケーションは、管理対象アカウントでは起動できないため、このIDも使用します。

管理者ポリシーの適用が有効な場合、確認済みの管理者は引き続き自身のアカウントでWindowsの昇格を進めます。理由の入力、MFA、承認も引き続き適用されます。

#### Windowsアプリケーションの互換性を拡大

承認された昇格を完了できるWindowsアプリケーションが増えました。

* Windows Terminalなどのパッケージ化アプリケーションを含む、対象のフルトラストAppXおよびMSIXアプリケーションを、サインインしているユーザー向けに昇格できます。
* すでに起動した後で昇格を要求する.NETおよびBurnインストーラーが、昇格済みのプロセスを受け取って完了できるようになりました。以前は、昇格プロンプトがキャンセルされたように見えることがよくありました。
* リモートアシスタンスのワークフローなど、UIAccessを必要とする承認済みアプリケーションは、信頼されたアプリケーションで、保護されたシステムの場所にインストールされている場合に起動できます。

#### LinuxのActive Directory管理

Linuxエンドポイントで、Active Directoryドメインへの参加と離脱、およびサインインを許可するActive Directoryグループの制御が可能になりました。

管理者は、構成ポリシーを使用してドメインプロファイル、参加用アカウント、許可するグループを適用します。エンドポイントでは、ドメインへの参加、離脱、またはアクセス設定の更新が1回実行されます。ドメインへの参加と離脱には委任アカウントを使用します。参加用パスワードは暗号化して保存され、コマンドラインには渡されません。許可グループの一覧を変更すると、すでに参加済みのホストのサインインアクセスも更新されます。許可グループのメンバーは、コンソールおよびSSHでサインインできます。

#### ハイブリッドのActive DirectoryとMicrosoft Entra ID

ポリシー内でユーザーアカウントを1回指定するだけで済みます。ドメインエイリアスを設定すると、Keeperは一覧に登録されたプレフィックスを同一のアカウントとして扱います。Azure AD、オンプレミスドメイン、その他のマッピング済みドメインとしてのサインインは、Windowsのログオンセッションからユーザープリンシパル名として渡された場合を含め、同じポリシーエントリと照合されます。

各マッピングは、`AzureAD` とオンプレミスドメインのように、明示的なペアで指定します。どちらの方向からも照合されます。別の関連ドメインを含めるには、そのドメインとのペアを追加します。ローカルアカウント名がドメインアカウント名に書き換えられることはありません。

Windowsでは、Active DirectoryおよびMicrosoft Entra IDのグループメンバーシップを、サインインしているユーザーのグループベースのポリシー照合に使用できます。

#### ポリシー変更への即応性を向上

ポリシーが更新されると、変更されたポリシーの実行許可とファイルアクセス許可が取り消されます。以前の許可は、古い許可が失効するまでユーザーに残ることはありません。変更のないポリシーの同期では、許可は取り消されません。

#### 診断機能を改善

Windowsのセッションログが、エージェントに設定されたログレベルに従うようになりました。起動時の診断情報がわかりやすくなり、ログの配信も堅牢になりました。ローカルのセッションログの場所には管理者のみがアクセスできます。

### セキュリティ

本リリースでは、ローカルのエンドポイントコンポーネントで報告された脆弱性を修正し、Linuxエージェントとセッションサービスで使用しているサードパーティライブラリをパッチ適用済みのリリースに更新しました。

* Windowsの登録シークレットをサービスアカウントで保護し、シークレットストアが安全でないファイルリンクを拒否するよう改善。
* 完了済みの承認を再利用できないよう修正。
* 特権クリーンアップがシンボリックリンクやジャンクションをたどらないよう修正。
* ファイルアクセスの変更がシンボリックリンクをたどらないよう修正。
* ローカルループバック認証で接続全体を検証するようにし、再利用された送信元ポートが別のクライアントと誤認されないよう修正。
* LinuxとmacOSのパス検証で、パスをシステムバイナリとして信頼する前に実際のファイルの場所を使用するよう修正。
* 標準ユーザーが、プロセス環境に依存する管理者チェックを回避できないよう修正。
* 親プロセスの欠如、紛らわしいパス、未完了のポリシー読み込みに依存した制御の回避を防止。ポリシー設定を読み込めない場合、エンドポイントは空のポリシーセットで処理を続行しません。

### 信頼性と拡張性

セッションの監督、ポリシーの適用、イベントの配信が、通常のエンドポイント負荷の下でより安定しました。

* 設定を読み取れない場合、ポリシーの更新をバックオフ付きで再試行し、昇格が制御されない状態を回避。
* ポリシーの応答にセッションIDが含まれていない場合でも、セッションチェックが失敗しないよう改善。
* プロセスの親子関係チェックが、循環や誤った親リンクで停止するようになり、その走査でのメモリ使用量を制限。
* サービスからバックオフを要求された場合、イベントのアップロードを減速。
* 起動時にプラグインや管理者で断続的にアクセスが拒否される問題を修正。

### その他の改善

* Linux版Keeper Clientで、従来のトレイのみのインターフェースに代えて、ダッシュへのピン留めを含む常駐ウィンドウを使用。
* Keeperのプロンプトがサインインしているユーザーの言語に従い、完了したプロンプトは自動的に閉じるようになりました。
* MMCスナップインの承認リクエストにスナップイン名を表示。
* 最小権限の解除は、LinuxとmacOSを含め、最小権限ポリシーが割り当てられている場合にのみ実行され、ログオン時と起動時に再確認。
* 特定のファイルアクセス許可が、そのファイルに限り保護パスを上書き可能に。
* macOSのファイル削除、ドラッグアンドドロップ、コマンドライン制御、初回起動時のセットアップフローを修正。
* Linuxのパッケージ更新とコマンドライン処理を修正。起動時に古いsudoersファイルを削除する処理も含まれます。
* MFAプロンプトの成功後、猶予期間内に同じアプリケーションを再度起動した場合に、通知なく拒否される不具合を修正。


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.keeper.io/release-notes/jp/enterprise/endpoint-privilege-manager/endpoint-privilege-manager-2.5.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.