こんにちは、ネクストモード株式会社 の奥野です。
セキュリティを高めつつ、現場の作業効率を落とさないKeeperPAMの仕組み、本当に触れば触るほど便利だと実感しますよね。
そんな便利で強力なKeeperPAMですが、公式マニュアルを眺めていると、「KeeperPAMでは、次の機能がご利用になれます。」として、魅力的な機能がずら～っと一覧で並んでいるのをご存知でしょうか？「機能がいっぱいあるのは分かったけど、専門用語も多くて結局どういうことなのかピンとこない…」という方もいらっしゃるかもしれません。そこで今回は、公式マニュアルに記載されている機能一覧を、1つ1つ「要するにどういうこと？」と紐解きながら解説していきたいと思います！これを見れば、KeeperPAMの全体像がガッチリ掴めるはずです。
ちなみに、KeeperPAMに関する概要や、弊社がこれまでに公開してきた便利な機能・活用例については、次のブログに集約されています。本記事とあわせて、ぜひチェックしてみてください！
それでは、マニュアルに記載されている順番に沿って、各機能をサクサク紐解いていきましょう！
KeeperPAMの自動ローテーションは、あらかじめ設定したスケジュール（時間指定やcron式）に沿って「Keeperゲートウェイ」が自動で動き出し、各システムやクラウドAPIと直接通信してパスワードを安全に書き換えてくれます。新しくなった認証情報は暗号化されたKeeperボルトへ即座に保存されます。それと同時に、監査やコンプライアンス対応に備えるため、また外部のログ収集サーバー（SIEM）へ出力して連携できるように、パスワード変更に関する一連の履歴が記録される仕組みになっています。
パスワードローテーションは、重要なアカウントのパスワードを定期的に変更することで、同じパスワードが長期間使い回されるリスクを防ぎます。万が一、認証情報がどこかで漏洩してしまっても、パスワードが自動で切り替わっていれば被害を最小限に抑えられます。
KeeperPAMの特権セッション管理は、Linux（SSH）やWindows（RDP）、データベース、Webサイト（RBI）などへのアクセスを自動で記録・保存する機能です。操作画面をそのまま記録する動画と、打ったコマンドを記録するテキストの両方で記録できます。
これらの記録は、改ざん不可能な監査証拠としてクラウドに保管されます。適切な権限を持つ管理者だけが再生でき、テキストログはダウンロード可能です。また、SIEMツールとの連携にも対応しています。
KeeperPAMのゼロトラスト接続は、Keeperボルトから、Keeperゲートウェイを経由して対象システムへ直接つなぐ特権セッション機能です。接続はPAMマシンや、PAMデータベースなどのレコードで設定され、SSHやRDP、各種データベースからリモートブラウザ分離（RBI）まで幅広く対応。わざわざ別のソフトを立ち上げてIPアドレスやパスワードを何度もコピペする手間が一切なくなります。
最大の特徴は、認証情報を必要に応じてボルトから自動で扱う点です。接続時にパスワードが利用者の端末へ送信されないため、利用者はパスワード自体を知る必要すらありません。
Keeperゲートウェイを経由したトンネル接続を確立し、対象のエンドポイントへゼロトラストでアクセスします。これにより、対象システムのネットワークを外部に一切公開することなく安全に通信できます。
トンネルを開始すると、ローカル端末上に安全なポートが自動で開きます。利用者は、普段から愛用しているローカル開発ツールやデータベースクライアント、RDP、SSHなどのアプリの接続先として、生成されたローカルポートを指定するだけで、安全に対象へ接続できるようになります。
パスワードなどの認証情報を共有せず、完全に秘匿した状態で、レコードや接続設定のみを共有できます。相手はワンクリックで自動ログインや特権セッションを起動できますが、パスワードの閲覧やコピーは一切できないため、認証情報の持ち逃げを防ぎます。
さらに、共有には有効期限を設定することができ、許可期間が終了するとアクセス権は自動的に消滅します。それと同時に特権アカウントのパスワードが裏側で自動的にローテーションされるため、作業後の不要なアクセスを残しません。
前述のトンネル接続と、一定期間のみの共有を組み合わせることで、さらに厳格なセキュリティ制御が可能になります。社内インフラやデータベースへ安全にアクセスするためのトンネル接続に対して有効期限を設定でき、許可期間が終了するとアクセス権は自動的に消滅します。
制限時間が来たら、例え作業者がツールを操作している最中であっても、アクティブなセッションやトンネル通信そのものがその場で即座に強制切断されます。それと同時に特権アカウントのパスワードが裏側で自動的にローテーションされるため、作業後のアクセス権の消し忘れによる事後の不正利用を完全に防ぎます。
SSH接続に必要な鍵の管理と利用をKeeperの製品内で完結できる機能です。KeeperPAMの接続環境において、認証に必要な鍵は暗号化されたKeeperボルト内で一元管理され、ローカル環境に保存することなく接続を確立できます。これにより、作業者は普段から使い慣れているターミナルなどのツールをそのまま利用しながらも、端末側からの鍵の流出リスクを根本から排除できます。
このように鍵管理をKeeperに集約しながらも、KeeperPAMのトンネル経由での接続（トンネルあり）と、対象サーバーへの直接のSSH接続（トンネルなし）の双方に柔軟に対応しています。
KeeperDBは、データベースの管理と利用をKeeperの製品内で完結できる機能です。PostgreSQLやMySQLをはじめとする各種データベースに対して、クエリ実行やデータ閲覧、運用作業を行えます。これにより、データベースへのアクセスを一元管理しながら、実務における操作性とゼロトラストの認証管理を両立できます。
拡張機能であるKeeperDBプロキシを利用することで、認証情報を利用者に見せずにパスワードレスでの接続が可能になります。ユーザーは指定されたローカルポートに接続するだけで、プロキシがKeeperボルトから認証情報を取得してデータベースへ渡すため、パスワードの流出リスクを気にすることなく安全に作業を行えます。
リモートブラウザ分離セッションの起動は、対象のWebアプリを分離されたブラウザ環境で開く機能です。Webサイトのコードや描画処理はローカル端末では実行されず、Keeperゲートウェイ上の仮想化コンテナ内で動作するChromiumブラウザーで処理されます。その画面がボルトに投影されるため、ユーザーは通常のブラウザのように操作できますが、端末側にWebの実行環境や機密データを持ち込まずにアクセスできます。これにより、マルウェアやフィッシングなどのWeb由来のリスクを大きく低減しながら、安全なWebアクセスをKeeper内で完結できます。
ドラッグ＆ドロップによるファイル転送は、ローカルPCとリモートサーバー間での直感的なファイルのやり取りを、Keeperの接続画面（ブラウザ）内で完結できる機能です。Webブラウザベースのリモート接続でありながら、手元のPCからファイルを直接ドラッグ＆ドロップするだけで、追加のFTPソフトや面倒な転送コマンドを一切必要とせずに、対象サーバーへスムーズにファイルを転送できます。
これにより、作業者はデスクトップ環境（RDP）だけでなくターミナル環境（SSH）であっても、普段のPC操作とまったく同じ手軽さで迷わずファイルをやり取りできます。もちろん利便性だけでなく、ファイル転送用の専用ポートを開けないセキュアな通信経路や、いつ・誰がファイルを送ったかのログ管理など、Keeperならではの安全な一元管理も両立しています。
リソースの検出は、KeeperゲートウェイとPAM構成を使って対象インフラをスキャンし、見つかったリソースをKeeperボルトで管理できるPAMレコードとして整理する機能です。
検出対象には、マシン、データベース、ディレクトリ、AWSやAzureなどのクラウド資産が含まれます。
検出結果はPAMマシン、PAMデータベース、PAMディレクトリ、PAMユーザーとして保存できます。管理者認証情報を関連付けると、対象リソース内のユーザーアカウントを検出できます。Windows環境では、あわせてサービスやスケジュールタスクも検出できます。
Keeperゲートウェイは、Docker、Linux、Windows環境にインストールできます。
ロールベースのポリシーは、ユーザーの役割に応じて機能や操作権限を制御する設定です。あるロールには検出やゲートウェイ管理を許可し、別のロールには限られたサーバーへの接続だけを許可するといった制御が可能です。
SIEM連携により、セッションやトンネルの開始・終了、JITアクセスの申請・承認・拒否、ゲートウェイや接続の状態変化などをイベントとして外部SIEMへ送信できます。
CI/CD、ITSM、DevOpsツールと連携し、実行時にKeeperから認証情報を安全に取得して使用することができます。
PAM接続中のセッションをAIが監視し、不審な動きや高リスクな兆候を検知します。必要に応じてセッションを終了でき、あとから内容の要約も確認できます。
いかがでしたか？
KeeperPAMの機能一覧を1つ1つ紐解いてみると、ただ単に「特権IDのパスワードを安全にしまっておく金庫」というだけでなく、「ゼロトラストネットワークアクセス（VPNの代替）」「開発者体験（DevOps）の向上」「AIによる監査の自動化」までを網羅した、まさに次世代の特権アクセス管理プラットフォームであることがお分かりいただけたかと思います。
セキュリティレベルを引き上げたいけれど、現場のエンジニアの作業効率は1ミリも落としたくない！という情シスやセキュリティ担当者の方にとって、これ以上ない強力な機能がこれでもかと詰まっています。
ネクストモードでは、これらKeeperPAMの各機能の具体的な設定方法や活用ユースケースをこれからもどんどん発信していきます！気になる機能があれば、ぜひお気軽にお問い合わせください。
KeeperPAMがもたらす安全で効率的な世界を、ぜひ一緒に体験してみましょう！