こんにちは、 ネクストモード株式会社 の奥野です。
今回は、Keeper PAMを利用するための土台となる「Keeper Gateway 」の構築方法についてご紹介したいと思います。
Keeper Gatewayは、特権アクセス管理（PAM）の利便性と安全性を両立させるための「要」となる存在です。
まず、Keeper Gatewayを使用することで、サーバーへのシームレスなアクセスが可能となります。ユーザーはブラウザからKeeperのボルトを操作するだけで、対象のサーバーへ直接ログインでき、VPN接続のような複雑な手順や専用ソフトなどは一切不要となります。
また、「ゼロトラスト」に基づいた強固なセキュリティも実現ができます。ゲートウェイが通信を中継するプロキシとして機能するため、接続するサーバー側で外部からのポート開放（インバウンド通信）を行う必要がありません。これにより攻撃リスクを最小限に抑えた安全なリモートアクセス環境を構築できます。
Keeper Gatewayは、 Keeper PAMを利用するための最初の一歩となりますので、ぜひ参考に設定してみてください。
PAMの概要については下記ブログをご参照ください。
今回は、AWS上に以下の構成で環境を構築しました。
今回の環境における主なポイントは、以下のとおりです。
公式ドキュメントでは、以下のスペックが基準として示されています。
安定稼働のためにも、余裕を持ったスペック選定を心がけましょう。
Keeper Gatewayは、Docker、Windows、Linuxといった幅広いプラットフォームに対応していますが、選択する環境によって利用できる機能に違いがある点に注意が必要です。
Keeperの全機能を最大限に活用し、最も安定した環境で管理するためには、公式ドキュメントにおいて以下のOSの利用が強く推奨されています。
これら「Enterprise Linux 8系」を選択することで、リモートブラウザ分離（RBI）などの高度な機能を含む、すべての機能がフルサポートされます。互換性や管理のしやすさを考慮すると、これらを選択するのが最も確実な構成となります。
まずはゲートウェイを使えるようにするための初期セットアップから進めていきましょう。はじめに、Keeperのウェブボルト画面からゲートウェイを新規作成します。
作成画面が表示されたら、プロジェクト名やフォルダ名には任意の名称を入力し、初期化方法は「ワンタイムアクセストークン」を選択します。
「初回リクエスト時にデバイスの外部WAN IPアドレスをロックする」の項目ですが、ここをチェックすると、アクセス元のIPアドレスが初回接続時のものに固定されます。本ブログの構成では、NAT GatewayのパブリックIPからのみアクセスを許可するため、セキュリティをより強固にすることが可能です。
最後に、今回はRHEL 8のサーバーにGatewayを設定するため、OSの選択肢では「Linux」を指定して次へ進みます。
「次へ」進むと、画像のように「アクセストークンが作成されました！」という画面が表示されます。 この画面では、サーバー側でのセットアップに使用する「インストールコマンド」と、認証用の「ワンタイムアクセストークン」が発行されますので、コマンドをコピーしておきます。
PAMユーザーレコードはKeeper Gatewayのセットアップで作成されたユーザーレコードを保存する共有フォルダに格納します。
ここからはRHEL 8サーバーでの操作に移ります。サーバーにログイン後、先ほどコピーしたインストールコマンドをターミナルに貼り付けて実行してください。このコマンドを実行することで、パッケージのダウンロードからゲートウェイのインストール、サービスの起動までが自動的に行われます。
インストールが完了したら、まずは以下のコマンドを実行してサービスの稼働状態を確認しましょう。出力結果のステータスが active (running) になっていれば、無事に起動しています。
サービスの自動起動の設定もチェックしてみましたが、こちらは最初からしっかり有効（enabled）になっていました！
念のため、以下のコマンドで設定状態を確認しておきましょう。結果が enabled と表示されれば、OSの起動時にゲートウェイのサービスが自動で立ち上がる設定になっています。
インストールが正常に完了すると、「シークレットマネージャー」セクションに新しいゲートウェイが追加されています。アプリケーションのステータスが「オンライン」になっていれば、セットアップは成功です。
以上で、Keeper Gatewayのセットアップは完了です！
Keeper Gatewayの導入、いかがでしたでしょうか？
ご覧いただいた通り、初期設定は非常に簡単です。OS側の難しい操作や複雑なコマンド入力、面倒な設定ファイルの作成などはほとんど必要ありません。自動化されたスクリプトにお任せするだけで、あっという間にセットアップが完了してしまいました。
さて、ゲートウェイという「道」が無事に開通しました。次は実際にこの道を通って、サーバーへアクセスしてみましょう！
別記事の「【Keeper PAM】LinuxへKeeper PAM経由でSSH接続してみた」では、今回構築したゲートウェイを使って、実際にSSH接続を行う検証内容を紹介しています。
ブラウザから安全かつ快適にサーバーを操作する様子をぜひチェックしてみてください。