PAM (特権アクセス管理) 
クラウドおよびアイデンティティプラットフォームにおけ
Keeper特権クラウドは、KeeperPAM®のジャストインタイム (JIT) アクセスのフレームワークをクラウド上でのID管理プラットフォームに拡張することで、ゼロスタンディング特権 (ZSP) を実現します。 ユーザーは申請が承認された場合のみ昇格権限を得ます。その権限は設定された期間のみ有効で、期間が終了するとKeeperが自動的に取り消します。 恒久的な特権が残ることはありません。
このブログでは、ゼロスタンディング特権の重要性、Keeper特権クラウドのワークフローの仕組み、Keeper特権クラウドがサポートするプラットフォームについて解説します。
ゼロスタンディング特権が重要な理由
恒久的な管理者権限は、使用されているかどうかにかかわらず、攻撃対象領域を拡大させます。 権限は特権クリープによって蓄積し、過去の管理者アクセス権は誰も必要としなくなった後もアクティブなまま残ります。使用されていない権限があるごとに、認証情報が盗まれた際の被害範囲は広がっていきます。 組織が保有する永続的なアクセス権が多いほど、攻撃者がアクセス権を取得した瞬間に、引き継ぐ権限も多くなります。
ゼロスタンディング特権は、そのリスクを排除します。 どのIDも恒久的な特権アクセス権を持ちません。 アカウントは、承認された制限時間に準じて昇格されます。その時間が終了するとアクセス権は失効するため、攻撃者が見つけて悪用できるようなアクセス権は残りません。
JITアクセスがあるからこそ、ZSPは実現可能になります。JITは必要なときに権限を付与し、恒久的に割り当てるのではなく、用が済めばその権限を取り消します。 この2つは、「どちらを使っても同じ」ではありません。JITはアクセスを付与するタイミングを制御し、ZSPはユーザーのタスクが完了した後に永続的な特権を残さないことを意味します。
Keeper特権クラウドによるゼロスタンディング特権実現の仕組み
Keeper特権クラウドは、申請と承認のワークフローによりゼロスタンディング特権を実現します。ユーザーが特定のリソースへのアクセスを申請し、承認者が承認すると、Keeperは所定の時間のみユーザーの特権を昇格させ、その時間の終了時にアクセス権を自動的に取り消します。
Keeper特権クラウドは、KeeperのアイデンティティセキュリティプラットフォームであるKeeperPAMの一部として、同じJITフレームワークをクラウドのIDプロバイダにも適用します。 Keeper特権クラウドでは、PAMクラウドリソース、PAMマシン、PAMデータベースの3種類のレコードタイプを使用します。 ユーザーがアクセス権を申請できるようにするには、各レコードに2つの設定が必要です。アクセスの付与方法を定義する「JIT設定」と、承認要件、制限期間、理由、チケット番号を定義する「ワークフロー設定」です。
まず、いくつかの前提条件を整えておく必要があります。Keeperシークレットマネージャーの設定済みアプリケーション、KeeperPAMゲートウェイの展開、ワークフローベースのアクセスの有効化、サポート対象のIDプロバイダ向けPAM構成が必要です。 ゲートウェイは、LinuxまたはWindows上のDockerを使用して自社ネットワーク内で稼働させる軽量なサービスで、対象インフラへのアウトバウンドアクセスを提供します。
設定が完了すると、ワークフローは次のように実行されます。
- An admin sets the JIT and Workflow settings on a PAM Cloud record, including duration, approvers and elevation target.
- The admin shares the record with the users eligible to request elevation.
- A user requests access from the Keeper Vault or Keeper Commander®.
- Approvers get the request through real-time notifications across Keeper clients, including mobile.
- Once a request is approved, KeeperPAM adds the user to the right group or role.
- The user launches the console or app with elevated privileges.
- When the time window ends, KeeperPAM removes the access.
申請が却下された場合、レコードは「アクセスをリクエスト」に戻り、ユーザーは再申請できます。
昇格は、IDプロバイダまたはリソース上で直接、グループまたはロール単位で行われます。 Keeper特権クラウドは、多くの組織ですでに利用されているIDプロバイダ (AWS IAM、Microsoft Entra ID、Google Cloud Platform、Okta、Active Directory) に加え、これらを介して連携するあらゆるアプリケーションに対応しています。 KeeperはこれらのIDを、リソース上で直接、または連携されたプロバイダを介して管理します。
アクセス権が承認された後、リソースにアクセスする方法は2つあります。 1つは、Keeperボルトから起動するKeeperのリモートブラウザ分離です。 もう1つは、AWSポータル、コマンドラインインターフェース (CLI)、Terraformを通じた標準的なログインです。
Keeper特権クラウドがセキュリティチームにもたらすメリット
このワークフローをKeeper特権クラウドで運用することで、セキュリティチームは防御すべき特権アクセスを減らし、付与されたアクセスについて明確な監査証跡を確保できます。
攻撃対象領域の縮小
タスクの合間に攻撃者が狙える休眠状態の権限が残ることはありません。 すべての権限昇格は一時的なものであるため、特権アクセスによる攻撃対象領域が存在するのは、アクセスが使用されている間だけになります。
承認ベース、時間制限付き、監査可能なアクセス
すべての昇格は申請と承認に基づき、記録が残ります。 これによりセキュリティチームは、誰がアクセスを申請したか、誰が承認したか、いつ有効期限が切れたかのログを確認できます。 この監査証跡は、日常的な内部レビューに加え、SOC 2、CMMC、NIST 800-53などのフレームワークで求められるアクセス制御の証跡要件への対応を支援します。
1つのプラットフォームから一貫したアクセス制御
接続しているすべてのクラウドおよび連携されたIDプロバイダで同じワークフローを実行するため、AWS、Entra ID、Oktaごとに個別のアクセス制御を管理する必要はありません。
Keeperで永続的な特権を排除
Keeper特権クラウドでは、特権アクセスは、ユーザーが申請し、承認を受け、定められた期間内に使用する場合にのみ有効になります。 期間が終了すると、保護すべきものも、盗まれるものも残りません。
ぜひKeeperPAMのデモをお申し込みいただき、お客様のクラウドおよびID設定の環境でKeeper特権クラウドがどのように機能するかをご体験ください。
