パスワードローテーション

Keeper Commanderプラグインを使用したリモートシステムのパスワードのローテーション

Keeper Secrets Managerの新しいパスワードローテーション機能がリリースされました。この新機能は、パスワードローテーションのすべてのユースケースに推奨されます。そのドキュメントは以下にリンクされています。

Keeper Secrets Managerを使用したパスワードローテーション
Commander KeeperPAMコマンド

パスワードローテーション

Keeper Commanderには、パスワードのローテーションとKeeper ボルトへの変更の同期のために、内部および外部のシステムと通信できる機能があります。これは、カスタムフィールドを使用して、Keeperの記録を物理システムに関連付けることで実現します。たとえば、MySQLパスワード、Active Directoryパスワード、管理者のローカルパスワードを自動的にローテーションさせることをお勧めします。

タイプ指定された記録

記録をタイプ指定すると、Commanderのローテーションが容易になります。 Commanderはフィールドをスキャンし、ローテーションの種類と接続の詳細についてインテリジェントな判断を行うことができます。標準の「SSH鍵」タイプや「サーバー」タイプなどの記録タイプを使用すると、ローテーション可能な記録の作成が簡単になります。

各ローテーションプラグインの要件は若干異なります。詳細は、このページの下に階層化された、左側のプラグインリストから選択してください。

Commanderは、記録に指定された値に基づいて、使用するローテーションの種類を自動的に識別します。たとえば、PORT値が22の記録では、デフォルトでSSHローテーションプラグインが使用されます。ローテーションプラグインは、ローテーション中またはカスタム記録フィールドで指定することもできます。

必要に応じて、すべての記録でカスタムフィールドをローテーションの設定として使用できます。カスタムフィールドの例については、下記の表をご参照ください。

タイプ指定された記録とタイプ指定されていない記録の違いについては、トラブルシューティングセクションをご参照ください。

タイプ指定されていない記録

タイプ指定されていない古い記録では、Commanderローテーションをサポートするために追加設定がいくつか必要です。

ローテーションプラグインをサポートするには、一連のカスタムフィールド値をKeeperの記録に追加するだけです。カスタムフィールドの値は、どのプラグインを使用するか、およびパスワードをローテーションするときにどのシステムと通信するかをCommanderに指示します。カスタムフィールドを使用するようにKeeperの記録を変更するには、ウェブボルトまたはKeeper DesktopでKeeperにログインします。

MySQLパスワードローテーション用のカスタムフィールドの例

カスタムフィールド名

カスタムフィールド値

cmdr:plugin

mysql

cmdr:host

192.168.1.55

cmdr:db

testing

タイプ指定された記録は、カスタム記録フィールドもサポートしています。古い記録をタイプ指定された記録に変換すれば (フィールドは変更しない)、Commanderローテーションで使用できるようになります。

記録にプラグインが指定されている場合、Commanderはplugins/フォルダ内を検索し、指定された名前 (mysql.pyなど) に基づいてモジュールを読み込みます。次に、Keeperの記録の値を使用して接続し、パスワードをローテーションして、結果のデータを保存します。

利用可能なすべてのプラグインについては、pluginsフォルダをご確認ください。Keeperのチームは、新しいプラグインを継続的に追加しています。特定のプラグインを作成する必要がある場合は、commander@keepersecurity.comまでメールでご相談ください。