鍵と証明書のスケジュール管理

スケジュールとは、特定の時刻または指定された順序で実行される予定のアクティビティの計画的なリストです。PAM360では、ユーザーはSSHリソースおよびSSL証明書に対して、鍵のローテーション、SSL証明書の検出、脆弱性評価などの操作を実行するスケジュールタスクを作成できます。これらのスケジュールは定期的な間隔で実行するようにカスタマイズでき、重要なセキュリティタスクを自動化する効率的な手段を提供します。

このドキュメントでは、以下のスケジュールベースの操作について説明します。

  1. スケジュールの追加
  2. スケジュールの変更
  3. スケジュールの有効化または無効化
  4. スケジュールの削除

1.スケジュールの追加

  1. 「管理」>>「PKI管理」>>「SSH/SSLスケジュール」に移動します。表示された「スケジュール」ページから、スケジュールに関連するすべての操作を実行できます。
    ssl_schedules_2
  2. 上部パネルにある「スケジュールを追加」ボタンをクリックします。
  3. 表示された新しいページで、「スケジュール名」を入力します。
  4. 「スケジュール種別」ドロップダウンで、スケジュールする操作のタイプを選択します。以下のオプションが利用できます：
    1. 「鍵のローテーション」：指定されたユーザーアカウントのSSH鍵のローテーションを自動化します。
      • ローテーション対象の鍵を直接選択するか、鍵グループを経由して選択します。スケジュールの失敗を避けるため、鍵が割り当てられていることを確認してください。未割り当ての鍵がスケジュールされている場合、エラーが「監査」タブに表示されます。
      • 「秘密鍵ファイルをリモートユーザーアカウントに配布」および/または「公開鍵ファイルをリモートユーザーアカウントに配布」オプションを有効にすることで、鍵ファイル（秘密鍵、公開鍵、またはその両方）を関連するユーザーに自動的に配布します。「ファイル名として鍵名を使用」オプションを選択することもできます。
    2. 「SSLのディスカバリー」：SSL証明書の検出を自動化します。
      • PAM360 エージェントを通じて SSL ディスカバリーを有効にするには、「エージェント」チェックボックスをオンにします。
      • 「IPアドレスの範囲」：IPアドレスの範囲を使用してSSL証明書を検出する場合は、「開始IP」と「終了IP」のアドレスを入力します。必要に応じて、「IPアドレスを除外する」こともできます。
      • 「サブネット」：サブネットからSSL証明書を検出するには、関連するIPアドレスと、デプロイされたSSL証明書を確認する必要がある特定のポートを指定します。
      • 「ファイル参照」：ファイルからSSL証明書を検出する場合は、適切なファイルを参照して選択します。
      • 「ロードバランサー」：ロードバランサーからSSL証明書を検出する場合は、以下の詳細を入力します：「サーバ名」、「ポート」、「ユーザー名」、「クレデンシャル種別」、「パスワード」、および「パス」。ドロップダウンメニューからロードバランサーのタイプを選択します。選択肢には「一般」、「BIG-IP F5」、「Citrix」、または「Fortigateファイアウォール」などがあります。REST APIコマンドを使用したCitrixディスカバリーの場合は、「REST API を使用します (デフォルトでは、PMP はディスカバリと証明書の取得に CLI コマンドを使用します)。」というラベルのチェックボックスをオンにします。
      • 「共有パス」：必要に応じて特定のサーバーに対してディスカバリー操作を実施するには、「共有パス - Windows」または「共有パス - Linux/Mac OS」のいずれかを選択します。
      • 「バイパスプロキシの設定」：必要に応じて、「バイパスプロキシの設定」チェックボックスを選択します。このオプションは、IPアドレスの範囲、サブネット、および「ファイル参照」を含むディスカバリーモード、ならびにREST APIを使用したCitrixディスカバリーとFortigateファイアウォールを使用する場合に適用されます。
    3. 「ADユーザー証明書のディスカバリ」：Active Directoryユーザーに関連付けられたSSL証明書を取得します。
      • ドメイン名を選択するか、新規ドメインをクリックして新しいドメインを追加します。
      • プライマリ ドメイン コントローラおよび/またはセカンダリ ドメイン コントローラの詳細を入力し、ユーザー認証情報を指定します。
      • ［接続モード(SSLなし/SSL)］を選択し、ユーザー認証情報を入力します。
      • ［グループとOUを取得］をクリックし、証明書検出の実行が必要なユーザーアカウント/OUを選択します。
    4. MS証明書ストアを検出：証明書ストアまたはMicrosoft Certificate AuthorityからSSL証明書を取得します。
      • エージェントを有効にして利用可能なエージェントの一覧から必要なエージェントを選択し、タイムアウトを秒単位で指定するか、サーバ名を指定します。
      • ユーザー認証情報を入力するか、認証にPAM360サービスアカウントの認証情報を使用するチェックボックスを有効にします。
      • Microsoft Certificate Authorityによって発行された証明書の場合、証明書の発行日、証明書の失効/有効期限のステータス、および証明書テンプレートに基づいて検出を微調整できます。
    5. AWSディスカバリー：ACMやIAMなどのAWSサービスからのSSL証明書の検出を自動化します。
      • ドロップダウンから適切なAWS資格情報を選択します。新しい資格情報を追加するには、「証明書 >> AWS >> 管理」に移動します。
      • 認証情報のインポートが必要な［AWSサービス］を選択します: ACMまたはIAMです。
      • ACMから証明書をインポートするには、AWSサービスでACMを選択し、サービスのリージョンを選択します。IAMから証明書をインポートするには、必要なAWS［ユーザー名］を指定するか、AWSユーザー名をリスト化するオプションを使用してユーザー名を取得します。必要なユーザー名を選択します。
    6. SSL脆弱性：選択したSSL証明書に対して定期的な脆弱性スキャンをスケジュールします。
      • 脆弱性スキャンを定期的に実行する証明書を選択し、スキャンのたびに［Eメール通知を送信］する電子メールIDを指定します。
    7. SSLの有効期限：選択した証明書のSSL有効期限通知を自動化します。
      • 証明書を選択または証明書グループを選択し、通知間隔を設定して、アラートの有効期限までの日数を指定し、メール通知の設定をカスタマイズします。
    8. レポート：指定した証明書に対して定期的なレポート生成とメール配信をスケジュールします。
      • 特定の証明書/グループを選択し、定義された間隔で送信されるレポートをカスタマイズします。
    9. ssl_schedules_1
  5. 繰り返し間隔を設定します：「毎時」、「毎日」、「毎週」、「毎月」、または「1つのみ」。
  6. 「開始時刻」と「開始日」を設定し、「Eメール通知を送信」フィールドに通知先メールアドレスを入力します。
  7. カスタムの「件名」を追加し、「署名」を付けてメールの「コンテンツ」をカスタマイズします。
  8. 「レポートの形式」として「PDF」または「CSV」を選択します。選択した形式に基づき、レポートが指定のメールアドレスに送信されます。
  9. 「保存」をクリックしてスケジュールを追加します。スケジュールが設定され、スケジュールウィンドウから実行できるようになりました。
  10. スケジュールをすぐに実行するには、スケジュールウィンドウに移動し、目的のスケジュールの横にあるスケジュール実行アイコンをクリックします。

    メモ：

    実行結果はスケジュール監査および関連する操作監査に記録されます。

2.スケジュールの変更

  1. 「管理」>>「PKI管理」>>「SSH/SSLスケジュール」に移動します。
  2. 変更するスケジュールをクリックして「スケジュールの編集」ウィンドウを開きます。
  3. ［スケジュール名］および［スケジュール種別］を除き、必要に応じてスケジュールの詳細を調整します。
  4. 「更新」をクリックして変更を保存します。

3.スケジュールの有効化または無効化

スケジュールは必要に応じて一時的に無効化または再度有効化することができます。

  1. 「管理」>>「PKI管理」>>「SSH/SSLスケジュール」に移動します。
  2. 変更するスケジュールを選択し、「スケジュールを有効化」または「スケジュールを無効化」を選択します。確認メッセージが表示され、有効化または無効化が正常に完了したことが示されます。

    メモ：

    一度実行されたスケジュールは、再度有効にすることはできません。スケジュールを変更して有効にします。

4.スケジュールの削除

  1. 「管理」>>「PKI管理」>>「SSH/SSLスケジュール」に移動します。
  2. 削除するスケジュールを選択します。
  3. 上部パネルの「スケジュールを削除」をクリックし、確認を求められたら確定します。削除が正常に完了したことを確認するメッセージが表示されます。

PAM360のスケジュール機能を活用することで、SSH/SSL操作を合理化し、定期的なセキュリティタスクを自動化し、証明書管理に積極的に取り組むことができ、最終的に時間管理とシステムセキュリティの向上を実現できます。