こんにちは、 ネクストモード株式会社 のSaaSおじさん久住です。
本記事では、KeeperPAM 経由で Remote Browser Isolation（RBI）接続を試してみた結果と、設定手順の考え方をまとめます。
今回はブラウザ操作（Web アクセス）を安全に提供する RBIにフォーカスします。
RBI（Remote Browser Isolation）は、ユーザー端末のローカルブラウザではなく、隔離された実行環境（リモート側）でブラウザを起動・レンダリングし、その結果だけをユーザーに転送する仕組みです。
一般的に、RBI を採用する狙いは次の通りです。
Web 経由のマルウェア感染リスク低減
悪意のあるサイトの閲覧やドライブバイダウンロード（閲覧しただけで感染する攻撃）等の影響を、端末から切り離す
機密情報を扱う操作の隔離
例えば「管理コンソールへのアクセス」「特権作業時のブラウジング」などを、端末に依存しない形で実施できる
監査性の向上
セッション記録（画面録画や操作ログ）により「誰が・いつ・何をしたか」を追いやすくする
従来、特権作業や管理コンソールへのアクセスを安全に行うために、VPN や踏み台、端末制御、証明書配布、ローカルブラウザのハードニングなど、複数の運用が必要になることが多くありました。
KeeperPAM を使うと、次のようなメリットが得られます。
VPN 不要
Keeperゲートウェイを経由してセッションを確立できるため、利用者側のネットワーク要件をシンプルにしやすい
認証情報（シークレット）の秘匿
利用者にパスワードや鍵を配布せずに、アクセス権だけを渡せる
エージェントレスで導入しやすい
端末やターゲット側に追加ソフトのインストールを最小化しやすい
監査・ガバナンス
セッション録画などの記録を有効化しやすく、運用統制につなげられる
ここからは、実際に RBI 接続を構成して試してみた手順を紹介します。
KeeperPAM は「Keeperボルト」から直接ターゲットへ通信するのではなく、Keeperゲートウェイを経由してセッションを確立します。
まず「どのGatwayを使うか」「どのPAM機能を許可するか」を定義するPAMレコードを作成します。
マイボルトから新規作成→PAM設定を選択します。
作成済みのKeeperゲートウェイを選択し、名前とアプリケーションフォルダ（=ユーザーレコード格納先）を設定します。
一般タブの環境を「AWS」に設定し、AWS IDを入力します。
機能タブにて利用するPAM機能（今回はリモートブラウザ分離）とセッション録画を有効化します。ローテーションも有効化することでIAMユーザーのパスワードローテーションも設定することが可能です。
次にRBIでアクセスする先のログイン情報をKeeperに保管します。
マイボルトから新規作成→レコードを選択し、レコードタイプをPAMユーザーとしてタイトルを設定して、次へをクリックします。
ログイン（IAMユーザー名）、パスワードを設定し、作成済みのPAM設定を選択します。
パスワードではなくプライベートPEM鍵を利用することも可能です。
このレコードは、利用者に中身を見せずに「接続の裏側でのみ利用する」ことを意識して配置します。
最後に、RBI接続の入口となるレコードを作成し、上記のPAM設定とPAMユーザーを紐づけます。
マイボルトから新規作成→接続を選択します。
タイトル：AWS Management Console
URL：https://<AWS ID>.signin.aws.amazon.com/console
PAMの設定：作成したPAM設定
PAMの設定を編集し、セッション録画を有効化します。
ブラウザ自動入力にて認証情報として先ほど作成したAWS IAMユーザーを選択し、自動入力の対象を下記のように記載することで認証情報を自動入力します。hideプロパティを設定することでログイン処理中にパスワードを覗き見することも防ぐことが可能です。
設定は以上で完了です。
作成後は、利用者にはこの「入口レコード」のみ共有し、クリック（起動）で RBI セッションが開始できる状態にします。
Keeperボルトで対象レコードを開き、「起動」から接続してみました。
セッション録画についても、セッションを切った後すぐに確認出来ます。
KeeperPAM 経由で RBI 接続を試してみた結果、認証情報を秘匿したまま、隔離ブラウザでの安全な Web 操作を提供できるという点で、運用・セキュリティ両面のメリットを感じました。
特権作業や管理画面アクセスの統制（監査・証跡・権限移譲）に課題がある場合、KeeperPAMのRBI接続機能を利用することで、端末依存を減らしつつガバナンスを強化できる選択肢になりそうです。