FortiClientだけでは足りない？KeeperPAMで徹底管理する特権アクセス #Security – Qiita

FortiClient (VPN)：ネットワークに入るための「 鍵」

KeeperPAM：入った後の操作を管理・記録する「 監視カメラ」

• パスワードや秘密情報をまとめて安全に保管
• 必要なときだけ短時間で権限を自動発行・回収
• 全操作を録画・ログとして残せる

FortiClient (VPN)は、あくまで「社内ネットワークへ安全に接続するための手段」です。誰がいつサーバーやデータにアクセスし、どんな操作をしたかまではわかりません。
KeeperPAMを使うと、ネットワークに入った先での特別な権限を持つ人の操作をリアルタイムで記録し、必要なときだけ短い時間で権限を渡したり取り上げたりできます。
その結果、「誰が」「いつ」「どこで」「何をしたか」をすぐに確認でき、不正利用やミスを防ぎます。
ゼロトラストの時代には、ネットワーク接続後の操作も見える化することが欠かせません。KeeperPAMは、まさにそのための必須ツールです。

以下のリンクから KeeperPAM の無料トライアルを開始できます。

サンドボックス環境を構築して、KeeperPAMの機能について体験してみました。

① KeeperPAMの起動（管理コンソールにログインします）

②左メニューの「管理者」をクリックします。
[ロール]タブをクリックして、[ロールを追加]ボタンをクリックします。
ロールの名前（例：Test Role）を入力して[ロールを追加]ボタンをクリックして、新しいロールを作成します。

③追加した「ロール（Test Role）」を選択して、［強制適用ポリシー］ボタンをクリックします。
［特権アクセス管理］ボタンをクリックして、PAMに関する全ての強制適用ポリシーのチェックボックスを有効にして（全てチェックを入れる）、［完了］ボタンをクリックします。

④［＋ユーザーを追加］ボタンをクリックして、作成した「ロール（Test Role）」にログインできるユーザーを追加します。

⑤アクセス許可をするユーザーを選択して、［ユーザーを追加］ボタンをクリックします。

▶ 補足メモ

Keeperゲートウェイは、Docker や Linux、Windows にインストールして使えるサービスです。
　・ パスワードなどを自動で更新（ローテーション）
　・ 不正な動きを見つける（検出）
　・ 暗号化した安全なトンネル接続
　の機能をまとめて実行します。
接続は、Keeperボルトから送られたデータは暗号化されたままKeeperゲートウェイが外向きにだけ接続するので、社内に受信ポートを開けずに済むため、設定がとても簡単です。

⑥次に、Keeperボルトにログインします

※ PAMに関する強制適用ポリシーが有効になっている場合、左メニューに「シークレットマネージャー」ボタンが表示されています。

⑦右上の［＋新規作成］ボタンをクリックして［ゲートウェイ］ボタンをクリックします。

⑧このゲートウェイのプロジェクト名を（例：テスト）入力し、ゲートウェイを実行するオペレーティングシステム（例：Docker）を選択して、「サンプルレコードを作成する」にチェックを入れて、［次へ］ボタンをクリックします。
ゲートウェイが構築されます。
完了したら、リンクから「Docker Composeファイル」をダウンロードします。
リモートブラウザの分離機能も利用するので、Dockerのseccompファイルもダウンロードしてください。
［完了］ボタンで閉じます。

⑨Docker環境を設定します。

※前提条件：Dockerの環境がインストールされている前提で説明しています。

Dockerを起動して、ターミナルを開き、作業ディレクトリ（例：docker-test）まで移動します。
作業ディレクトリに「⑧の手順でダウンロードしたdocker-compose.ymlとdocker-seccomp.json」を配置します。

docker-compose.ymlの内容は、使用する環境（API／Connectorの設定など）に合わせて修正してください。
今回は、体験テストなのでdocker-seccomp.json はそのまま使用します。

docker compose upを実行すると、環境構築が開始されます。
PC のスペックにもよりますが、 構築が完了するまで 40 分ほど かかりました。

## 作業ディレクトリに移動
% cd docker-test

## 作業ディレクトリ内にdocker-compose.ymlとdocker-seccomp.jsonが格納されていることを確認
% ls
docker-compose.yml
docker-seccomp.json

## docker環境を構築
% docker compose up

⑩PAM機能を確認します。
左メニューの［マイボルト］から「⑧で作成したゲートウェイフォルダ（テストフォルダ）」をクリックします。
リソースフォルダをクリックして「VNC Machine」を選択して、［Launch］をクリックしてリソースにログインできます。

下記のように画面が表示されて、リモートアクセスできます。

▶ 補足メモ

「GatewayOffline Unable to establish connection to gateway 」画面が表示されたら、dockerが起動されていることの確認してください、または、下記の処理を試してみてください。

## docker-compose.ymlとdocker-seccomp.jsonが格納されている作業ディレクトリ内で下記のコマンドを実施
docker compose up -d keeper-gateway

# keeper-gateway が "Up" になっているか確認する
docker ps

これでPAM機能の設定確認が完了し、実際のリソースアクセスを安全に運用できる状態になりました。

KeeperPAMを操作してみて、Keeper Security社の既存製品を利用中の人にとって、全てを一元管理できるのは非常に便利だと感じました。

管理しやすいことで無駄な作業が減り、コスト削減につながります。
そして、ロール権限でアクセスできるユーザを設定できるので、管理もとても楽になります。

私が、KeeperPAMを体験して一番すごいと思った機能は、アクセスログ（レポート機能）です！
操作手順は下記になるのですが、「誰が・いつ・どこで・何にアクセスしたかを」 リアルタイムで監視できるのは、すごく便利だと思いました。

レポート機能