Keeper®とTeleportの比較: Teleportに代わる最適な選択肢

Teleportでは、一部のリソースタイプでエージェントレスモードを利用できますが、基本的にはアクセス対象となる各エンドポイントにエージェントソフトウェア (Teleportデーモン) をインストールする必要があります。セルフホスト型で導入する場合は、Auth ServiceとProxy Serviceの運用も必要です。

特にRDPアクセスは、セットアップの負担が最も大きくなります。Teleportでは仮想スマートカードを使用してRDP認証を行うため、ドメインコントローラーへのアクセス、GPOの変更、Windowsの信頼された証明書ストアへのTeleport CAのインポート、AD NTAuthストアへのCAの登録が必要です。

Teleportのドキュメントでも、Windows PKIの設定が難しい場合があることや、スマートカード認証に対応するために環境によっては大幅な変更が必要になることが説明されています。

Teleport Enterprise Cloudでは、Auth Serverを自社で運用したくないチームの負担を軽減できます。クラスターはTeleport側で管理されるため、ユーザー側ではエージェントを導入するだけで利用できます。

公開されているドキュメントによると、Teleportの証明書ベースのモデルでは、長期間使用されるパスワードやSSHキーが不要になります。一方、Auth ServerにはUser CAの署名鍵が保持されており、流出すると攻撃者がTeleport管理下のホスト向け証明書を不正に発行するおそれがあります。Teleportでは、このリスクへの対策としてHSMやクラウドKMS (AWS、GCP) への鍵の保存に対応しており、秘密鍵をハードウェアのセキュリティ境界の外に出すことなく管理できます。ただし、この構成には追加の設定が必要です。

公開情報によると、TeleportはSOC 2 Type IIおよびISO 27001の認証を取得しており、FedRAMPに準拠した導入にも対応しています。Teleportのドキュメントでは、FedRAMPの管理策を満たすためのセルフホスト環境の設定方法が案内されています。

TeleportはFedRAMP MarketplaceにFedRAMP認証済み製品として掲載されておらず、暗号モジュールとしてFIPS 140-3の独立した認証も取得していません。FIPS対応ビルドでは、FIPS 140-3認証を取得したGoogleのBoringCrypto (CMVP認証番号4735) を使用しています。

公開ドキュメントによると、TeleportはSSH、Kubernetes、データベース、ウェブアプリケーションのセッション記録に対応しています。RDPセッションも記録できますが、より複雑なセットアップが必要です。

すべての接続はTeleportのインフラを経由してプロキシされ、セッション記録はAuth Serverまたは設定されたストレージバックエンドに保存されます。Teleport Enterprise (v18.2以降) では、HSMまたはKMSを使用してアップロード前に記録を暗号化できるほか、記録を閲覧できるユーザーをロールベースで制御できます。記録へのアクセスは、エンドユーザー自身のボルト内でのみ復号するゼロ知識モデルとは異なり、Teleportの管理者権限と設定された鍵管理によって制御されます。

Teleportは、2025年9月リリースのバージョン18.2でAIによるセッション要約を導入しました。LLMを使用して、SSH、Kubernetes、データベースのセッションログを自然言語で要約する機能です。利用にはIdentity Securityを有効にしたTeleport Enterpriseが必要で、この機能はデフォルトでは無効になっています。また、外部の推論サービス (OpenAIまたはAmazon Bedrock)、もしくはTeleport Cloud上でTeleportが管理するモデルを使用します。

Teleportはさらに、AIエージェントによるインフラへのアクセスを管理するAgentic Identity Frameworkも展開しています。人間やマシンのアイデンティティに使用している証明書ベースのモデルを、LLM、MCPサーバー、エージェント型ワークフローにも適用する仕組みです。

Teleportは、シークレット管理に根本的に異なるアプローチを採用しています。認証情報をボルトに保管してローテーションするのではなく、必要に応じて短期間のみ有効な証明書を発行することで、長期間使用する認証情報そのものを不要にします。

一方、Teleportには認証情報を保管するボルトや、組織が管理するさまざまなシークレットに対応するシークレット管理ソリューションはありません。APIキー、サードパーティサービスの認証情報、証明書など、短期間のみ有効な証明書では代替できない機密情報は、その対象外となります。

Teleportはインフラエンジニア向けに設計されており、一般のビジネスユーザー向けの企業向けパスワード管理には対応していません。エンドユーザーの認証情報を保存するボルト、SaaSアプリへの自動入力、ダークウェブモニタリング、従業員向けのモバイルボルトアプリもありません。

そのため、エンジニアリングチームにTeleportを導入している組織でも、その他の従業員には別途パスワード管理ソリューションが必要です。

Teleportは、MySQL、PostgreSQL、MongoDB、Redis、Oracleなどに対応したデータベースアクセスプロキシ機能を備えています。接続をTeleportのプロキシ経由でルーティングし、データベースの認証情報の代わりに有効期間の短い証明書を使用します。セッションの操作内容はログに記録されます。

Teleportには、ブラウザ上で直接クエリを実行できる環境はありません。ユーザーはpgAdminやMySQL Workbenchなどの外部GUIクライアントを使用し、Teleportのローカルプロキシを介して接続します。Teleportのウェブ管理画面には、統合されたビジュアルクエリ機能はありません。

Teleportでは、セッション、ログイン、アクセスリクエスト、ポリシー変更など、インフラへのアクセスに関するすべてのイベントを監査ログに記録します。また、Events APIを介したSIEM連携に加え、ElasticやSplunkなどとのネイティブ連携にも対応しています。

Teleportにはパスワードボルトやエンドユーザーの認証情報を管理する機能がないため、監査対象はインフラアクセスに限定されます。パスワード関連のイベント、ボルト内の操作、エンドユーザーによる認証情報の利用状況、組織全体のセキュリティ態勢は追跡対象となりません。