Keeper® 对比 Teleport：Teleport 的最佳替代方案
Keeper 与 Teleport 都致力于保护基础设施访问安全，但面向的用户群体不同，采用的安全理念也截然不同。了解二者在平台功能深度、合规性、部署方式和企业级能力等方面的差异。
为什么 Keeper 是 Teleport 的最佳替代方案？
Teleport
平台定位与功能范围
Keeper 是一个统一的身份安全平台，覆盖完整的企业安全技术栈，包括企业密码管理、特权会话管理、机密管理、远程浏览器隔离（RBI）、端点特权管理、AI 驱动的威胁检测和安全数据库访问。所有功能均整合于一个云原生平台中，通过一个保管库、一个管理控制台和一个策略引擎统一管理。
Teleport 是一个面向软件工程师、DevOps 和安全团队打造的基础设施访问平台。Teleport 通过基于证书的方式访问服务器、数据库、Kubernetes 集群、内部 Web 应用和 Git 存储库，并使用短期加密证书取代长期有效的 SSH 密钥和 VPN。
根据公开文档，Teleport 专注于基础设施访问，而非覆盖广泛场景的企业级 PAM。Teleport 不提供企业密码管理、面向最终用户的凭据保管、端点特权管理、远程浏览器隔离或暗网监控等功能。
部署模式与运维复杂性
在特权会话管理方面，Keeper 采用 100% 无代理、无客户端架构。只需在目标环境中部署轻量级的容器化 Keeper Gateway，无需在各个端点安装软件或在每台服务器上部署代理，也无需修改入站防火墙规则。
该网关采用仅出站连接的设计。用户无需重新配置现有系统，即可直接通过 Keeper 保管库 访问基础设施。
Teleport 要求在需要访问的每个端点上安装代理软件 (Teleport daemon)，但部分资源类型支持无代理模式。此外，自托管部署还需要运行 Auth Service 和 Proxy Service。
RDP 访问的部署配置成本最高。Teleport 通过虚拟智能卡进行 RDP 身份验证，这要求访问域控制器、修改 GPO、将 Teleport CA 导入 Windows 信任存储，并将其发布到 AD NTAuth 存储。
Teleport 自身的文档指出，Windows PKI 的配置可能较为复杂，部分环境还需要进行较大幅度的调整才能支持智能卡身份验证。
对于不希望自行运行 Auth Server 的团队，Teleport Enterprise Cloud 可以降低运维负担；集群由 Teleport 负责管理，用户只需部署代理即可。
零知识安全架构
Keeper 基于零知识、零信任架构搭建。所有加密操作均在客户端完成，数据在传输至 Keeper 服务器之前即已完成加密。Keeper 无法访问客户保管库中的数据、凭证或机密信息。每条记录均由一个在用户设备本地生成的唯一 AES-256 密钥进行保护。
Keeper 的加密模块已通过 NIST 加密模块验证计划 (CMVP) 的 FIPS 140-3 验证。
根据公开文档，Teleport 的证书模型无需依赖长期有效的密码和 SSH 密钥。但 Auth Server 持有 User CA 签名密钥，这是一项长期有效的凭据；一旦该密钥遭到窃取，攻击者便可为任何由 Teleport 管理的主机签发证书。Teleport 支持使用 HSM 和云 KMS（AWS、GCP）存储密钥，以降低这一风险，并确保私钥不会离开硬件安全边界，但这需要额外的配置。
合规认证与政府级部署能力
Keeper 已获得 FedRAMP High 认证和 GovRAMP High 授权，托管于 AWS GovCloud，并提供仅限美国境内的数据存储以及由符合要求的美国人员组成的隔离式支持团队。
Keeper 已通过 FIPS 140-3 验证，并获得 SOC 2 Type II、SOC 3 以及 ISO 27001、27017、27018 等认证，同时支持 ITAR 与 FDA 21 CFR Part 11 合规要求。Keeper 已采用 CRYSTALS-Kyber 实现抗量子加密，为客户数据提供面向未来的后量子威胁防护。
根据公开信息，Teleport 已获得 SOC 2 Type II 和 ISO 27001 认证，并支持符合 FedRAMP 要求的部署。Teleport 的文档提供了配置自托管部署以满足 FedRAMP 控制要求的相关指南。
Teleport 未被列为 FedRAMP Marketplace 上的 FedRAMP 认证产品，其加密模块也未通过 FIPS 140-3 的独立验证。其 FIPS 构建版本依赖 Google 的 BoringCrypto（CMVP 证书编号 #4735），由该模块获得 FIPS 140-3 验证。
特权会话管理与会话录制
Keeper 提供覆盖 SSH、RDP、VNC、数据库会话和远程浏览器会话的全面特权会话管理，所有会话均可直接通过 Keeper 保管库发起，且目标系统无需安装代理。每个会话都会进行完整录制，并使用独立的会话专用密钥进行加密，然后存储在由客户管理的保管库中。
录制内容在用户的保管库中进行本地解密，从而维持严格的零知识访问控制。管理员可以直接在保管库中搜索会话内容、查看击键日志并回放录制内容，同时所有事件均可与安全信息和事件管理 (SIEM) 系统集成。
根据公开文档，Teleport 支持对 SSH、Kubernetes、数据库和 Web 应用会话进行录制。Teleport 也支持 RDP 会话录制，但配置过程更为复杂。
所有连接均通过 Teleport 的基础设施进行代理，会话录制则存储在 Auth Server 或配置的存储后端中。Teleport Enterprise（v18.2 及更高版本）支持在上传前通过 HSM 或 KMS 加密录制内容，并支持基于角色的控制，以控制谁可以查看这些内容。访问权限由 Teleport 管理员和配置的密钥管理进行治理，而非采用仅在最终用户自己的保管库内解密录制内容的零知识模式。
AI 驱动的威胁检测
Keeper 提供 KeeperAI——一款嵌入 KeeperPAM® 的智能体 AI 引擎，可实时监控 SSH、RDP、VNC、RBI、数据库连接和 KeeperDB 中的活跃特权会话。它能够分析击键日志和命令执行行为，按照风险等级对行为进行分类，并在检测到威胁时自动终止会话，无需人工干预。
Keeper 基于 Sovereign AI 框架构建，使每个组织都能保留完整的数据所有权，并可灵活选择本地部署或云端部署 LLM。
Teleport 在 18.2 版本（2025 年 9 月）中引入了 AI 生成的会话摘要功能。该功能使用 LLM 生成 SSH、Kubernetes 和数据库会话日志的自然语言摘要。该功能需要使用启用了 Identity Security 的 Teleport Enterprise；Identity Security 默认处于关闭状态，并依赖外部推理服务提供商（OpenAI 或 Amazon Bedrock），或使用 Teleport Cloud 管理的模型。
Teleport 还推出了智能体身份框架，用于治理 AI 智能体对基础设施的访问，并将用于人类和机器身份的同一套基于证书的身份模型扩展至 LLM、MCP 服务器和智能体工作流。
机密管理
Keeper Secrets Manager 是一款完全基于云端、采用零知识架构的机密管理解决方案，无需任何本地组件。其内置自动轮换功能，可有效保护 API 密钥、SSH 密钥、证书、数据库密码及 CI/CD 流水线凭据。
它原生集成 Terraform、Kubernetes、GitHub Actions、Jenkins 及 100 多种 DevOps 工具，并支持模型上下文协议 (MCP)，使 AI 工具和智能体能够安全地检索机密。
Teleport 对机密管理采用了截然不同的方法：它并不通过保管和轮换凭据来管理机密，而是按需签发短期证书，从根本上避免使用长期有效的凭据。
Teleport 不提供凭据保管库或机密管理解决方案，无法覆盖企业需要管理的更广泛的机密类型，例如 API 密钥、第三方服务凭据、证书，以及其他无法通过短期证书替代的机密数据。
企业密码管理与终端用户覆盖
Keeper Enterprise Password Manager 面向组织内所有用户，而不仅仅是工程团队。用户可通过 Web 保管库、桌面应用、移动应用和浏览器扩展，在所有主流平台上访问。
Keeper 为特权管理员和普通员工提供一致的使用体验。KeeperFill 可自动填充密码、通行密钥及双重验证码。BreachWatch® 监控暗网中泄露的凭据。
Teleport 面向基础设施工程师设计，不提供面向普通企业用户的企业密码管理功能。它不提供用于保管最终用户凭据的保管库、SaaS 应用自动填充、暗网监控或面向员工的移动保管库应用。
为工程团队部署 Teleport 的企业，仍需要为其他员工配备独立的密码管理解决方案。
安全数据库访问
Keeper 提供 KeeperDB —— 一款内置于 Keeper 保管库中的数据库管理界面。特权用户可安全查询并管理 MySQL、PostgreSQL、Microsoft SQL Server 数据库或通过第三方数据库工具进行连接，全程无需让凭据接触本地设备。
所有会话均运行于 Keeper 远程浏览器隔离环境中，全程记录，并由集中式最小权限策略统一管控，同时提供完整审计追踪。管理员可以通过单一控制台强制执行只读会话、限时访问和数据导出控制。
Teleport 为 MySQL、PostgreSQL、MongoDB、Redis、Oracle 等数据库提供数据库访问代理，通过 Teleport 代理路由连接，从而以短期证书替代数据库凭据。会话活动会被记录并留存。
Teleport 不提供原生的基于浏览器的查询环境。用户通过外部 GUI 客户端（例如 pgAdmin 或 MySQL Workbench）进行连接，这些客户端通过 Teleport 的本地代理进行隧道传输。Teleport Web 界面中没有集成的可视化查询界面。
报告、审计与 SIEM 集成
Keeper 的高级报告和警报模块 (ARAM) 可追踪超过 300 种可审计事件，包括保管库活动、特权会话、机密访问和策略变更，并支持实时告警以及与 CrowdStrike Falcon、Microsoft Sentinel、Google Security Operations 和 Splunk 的直接 SIEM 集成。
Keeper 的 Compliance Reporting 模块可通过统一控制台生成适用于 SOC 2、HIPAA、PCI DSS 及 ISO 27001 的整合式审计报告。
Teleport 为所有基础设施访问事件提供审计日志，包括会话、登录、访问请求和策略变更，并可通过 Events API 以及与 Elastic、Splunk 等平台的原生集成实现 SIEM 集成。
由于 Teleport 不提供密码保管库或终端用户凭据管理层，其审计范围主要局限于基础设施访问。它无法追踪密码相关事件、保管库活动、终端用户凭据行为或组织整体安全态势。
Keeper 与 Teleport：用户评分与评论
Teleport
iOS App Store
Microsoft 商店应用
Chrome 扩展程序
Android
基础设施访问只是起点
KeeperPAM 比 Teleport 更进一步，不止于基础设施访问，而是在统一的零知识、零信任平台上，全面保护组织内的每位用户、每项凭据、每个特权会话和每份机密。
常见问题解答
什么是 Teleport？哪些用户会使用它？
Teleport 是一个开源的基础设施访问平台，通过基于证书的方式访问服务器、数据库、Kubernetes 集群和内部 Web 应用，并使用短期加密证书替代长期有效的 SSH 密钥和密码。它广泛应用于云原生环境中的软件工程师、DevOps 团队和平台工程团队。
对于希望消除基于凭据的基础设施访问方式的工程驱动型组织而言，Teleport 是一款强大的工具。但它并不是完整的特权访问管理平台。它不提供企业密码管理、终端用户凭据保管、端点特权管理或远程浏览器隔离，也不具备政府及受监管企业采购所需的相关合规认证。
KeeperPAM 与 Teleport 有哪些区别？
核心差异在于覆盖范围。Teleport 是一款面向工程团队的基础设施访问工具；其优势在于通过基于证书的访问方式替代 SSH 密钥和 VPN，为开发人员访问服务器、数据库和 Kubernetes 集群提供安全访问能力。
KeeperPAM 是一个覆盖整个组织的统一身份安全平台。它基于统一的零知识架构，为所有用户提供企业密码管理、特权会话管理、机密管理、远程浏览器隔离、端点特权管理，以及由 KeeperAI 驱动的 AI 威胁检测和由 KeeperDB 提供的安全数据库访问，同时采用经过 FIPS 140-3 验证的加密技术，并获得 FedRAMP High 认证。为工程团队部署 Teleport 的企业，仍需要额外的解决方案来满足密码管理、终端用户凭据安全、合规报告和端点特权管理需求。Keeper 则通过一个统一平台覆盖上述全部需求。
Keeper 是否比 Teleport 更易于部署？
部署模式各不相同。Keeper 的特权会话管理采用无代理、无客户端架构：只需在目标环境中部署轻量级的容器化网关，且无需在各个端点上安装软件。该网关仅支持出站连接，无需更改入站防火墙或重新配置现有系统。
Teleport 要求在每个需要访问的端点上安装代理软件，同时还需要运行 Auth Service 和 Proxy Service，但部分资源类型支持无代理模式。RDP 访问需要额外的步骤，包括域控制器访问、GPO 更改和智能卡配置。Teleport Enterprise Cloud 为使用托管选项的团队免去了运行自己的身份验证服务的需要；而自托管部署则需要自行管理这些服务。
Keeper 是否符合政府及受监管行业的要求？
是的，Keeper 已获得 FedRAMP High 认证、GovRAMP High 授权，通过 FIPS 140-3 验证，并取得 SOC 2 Type II、SOC 3 以及 ISO 27001、ISO 27017 和 ISO 27018 认证，同时支持 ITAR 和 FDA 21 CFR Part 11 合规项目。Keeper 还使用 CRYSTALS-Kyber 实现了抗量子加密。
Teleport 已获得 SOC 2 Type II 和 ISO 27001 认证，并提供相关文档，帮助客户配置自托管部署以满足 FedRAMP 控制要求。不过，Teleport 自己的云服务未在 FedRAMP Marketplace 上列为 FedRAMP 认证产品。对于将 FedRAMP 认证作为硬性采购要求的政府机构和受监管企业而言，Teleport 无法满足该要求，而 Keeper 则可以满足。
Keeper 和 Teleport 可以结合使用吗？
可以。两者并非互相排斥，部分组织可能会同时部署和使用两者。Teleport 的无密钥、基于证书的访问模式非常适合需要访问云基础设施的工程团队；而 Keeper 则覆盖组织更广泛的身份安全需求，包括终端用户密码管理、机密存储、面向非工程用户的特权会话管理、合规报告以及端点特权管理。
不过，KeeperPAM 同样覆盖 Teleport 所支持的基础设施访问用例，例如通过 SSH、RDP 和数据库协议实现无代理远程访问，并提供完整会话录制和零知识安全保护。对于正在评估两者的组织而言，Keeper 可以涵盖常见的基础设施访问用例（通过 SSH、RDP 和数据库会话进行无代理远程访问），同时将安全性扩展到组织中的每个用户和凭据，所有这些都在一个拥有 FedRAMP High 认证和 FIPS 140-3 验证加密的单一平台上实现，而 Teleport 自己的云平台则不具备这些资质。