PAM360リモート接続におけるアプリケーション認証情報の注入

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

この機能は、PAM360ビルド8000-以降およびPAM360 Remote Connectビルド4100-以降に適用されます。

PAM360は、PAM360リモート接続デスクトップクライアントの「アプリケーション認証情報注入」機能を通じて、サードパーティ製のシッククライアントアプリケーションに対する自動パスワード注入をサポートしています。この機能により、ユーザーがターゲットシステムやデータベースサーバーに接続する際に、複雑なパスワードを手動で入力したり管理したりする必要がなくなるため、セキュリティと利便性の両方が向上します。

「アプリケーション認証情報注入」機能により、ユーザーは認証情報や接続詳細を手動で入力することなく、サポート対象のサードパーティ製アプリケーションをシームレスに起動できます。接続プロセス中、必要な認証情報はPAM360から安全に取得され、実行時にターゲットアプリケーションへ注入されるため、機密性の高い認証情報がユーザーに露出することはありません。

対応アプリケーション

PAM360は現在、以下のアプリケーションに対する自動認証情報注入をサポートしています：

Microsoft SQL Server、MySQL、Oracle、PostgreSQL などのデータベースサーバー：

  • DBeaver（バージョン 26.1.1）
  • MySQL Workbench（バージョン 8.0.47）
  • SQL Server Management Studio（バージョン 20）
  • PL/SQL Developer（バージョン 16.0.8）
  • Oracle SQL Developer（バージョン 24.3.1）
  • Toad for Oracle（バージョン 26.1）

SAP ERPシステムについては

  • SAP GUI（バージョン770）

SSH/SFTPサーバー用

  • WinSCP（バージョン 6.5.6）

1. 前提条件

1.1 データベースサーバー

「アプリケーション認証情報注入」機能を使用して、対象のデータベースサーバーへのセッションを正常に確立するためには、以下の要件が満たされていることを確認してください。

  1. PAM360リモート接続アプリケーションがインストールされているマシンは、PAM360サーバーおよび対象のデータベースサーバーの両方に対してシームレスに接続できる状態である必要があります。
  2. サードパーティ製のシッククライアントアプリケーションは、PAM360 Remote Connectクライアントが実行されているマシンにインストールされている必要があります。また、インストールされたすべてのマシンにおいて、PAM360の「管理」→「特権セッション」→「自動ログオンヘルパー」→「アプリケーション」ページで指定されたディレクトリからアクセス可能である必要があります。このパスは、リモート接続の起動およびパスワードの自動入力に使用されるためです。必要に応じてアプリケーションのファイルパスを設定する方法の詳細については、このセクションをご参照ください。
  3. サードパーティ製のシッククライアントアプリケーションのインターフェース言語が英語に設定されていることを確認してください。
  4. ターゲットデータベースサーバーへのリモート接続中に「アプリケーション認証情報の注入」機能が正常に動作するようにするには、PAM360サーバーに有効なWebサーバー証明書が必要です。
  5. 対象のデータベースサーバーはPAM360にリソースとして追加する必要があります。リソースを追加する際は、以下の点にご注意ください。
    1. 「ユーザー名」「パスワード」「ホスト名」「ポート」などの詳細が正しく設定されている必要があります。
    2. [デフォルトデータベース]フィールドは、対象データベースの実際の名前と完全に一致している必要があります。Oracleデータベースサーバーの場合、PAM360で[デフォルトデータベース]として設定する値は、SIDではなくデータベースのサービス名である必要があります。Microsoft SQL Serverの場合、この値はデータベースのインスタンス名である必要があります。
    3. PAM360では、各データベースサーバーごとに「リモートログインの資格情報」を 設定する必要があります 。これは、thick-clientアプリケーションを介してデータベースサーバーにリモート接続する際、自動入力機能をサポートするために、PAM360リモート接続がPAM360からデータベースサーバーのポート詳細を取得できるようにするために不可欠です。
  6. MS SQLデータベースの認証については、PAM360リモート接続経由でDBeaverなどのシッククライアントアプリケーションを使用する場合、現在は非SSL接続のみがサポートされています。対象のMS SQLデータベースがSSLを強制したり、クライアント証明書を要求したりしていないことを確認してください。これらの設定は現在サポートされていません。
  7. MySQLデータベースサーバーの場合、PAM360リモート接続経由でサードパーティ製のシッククライアントアプリケーションを使用してMySQLデータベースサーバー（初期バージョン）への接続を確立し、パスワードの自動入力を行うためには、「RSA公開鍵の取得」プロパティを有効にする必要があります。
  8. Oracleデータベースサーバーの場合、
    1. パスワードの自動入力は、現在、権限が「Normal」に設定されている認証の場合にのみサポートされています。したがって、PAM360リモート接続経由でToad for Oracle、PL/SQL Developer、Oracle SQL Developer、DBeaver、 またはMySQL Workbenchなどのアプリケーションを使用して接続を開始する前に、役割のタイプが「Normal」に設定されていることを確認してください。
    2. TNSおよびLDAP接続種別は現在サポートされていないため、リソースは「Direct」接続を使用するように設定する必要があります。したがって、PAM360 Remote Connectを介してToad for OracleやOracle SQL Developerなどのアプリケーションを使用して接続を開始する前に、接続種別が「Direct」に設定されていることを確認してください。
  9. SQL Server Management Studio（以下、SSMS）経由の接続については、
    1. サポートされている暗号化種別は、「Strict」、「Mandatory」、「Optional」です。使用される暗号化種別は、PAM360の「リモートでのパスワード変更の設定」ウィンドウで設定された接続モードによって異なります：
      1. 接続モードが「非SSL」の場合、接続には「Optional」暗号化モードが使用されます。
      2. 接続モードが「SSL」の場合、接続には「Strict」または「Mandatory」の暗号化モードが使用されます。
    2. PAM360リモート接続の「アプリケーション認証情報の注入」機能を使用してSSMSアプリケーション経由でターゲットデータベースサーバーへのリモート接続を確立する場合、SQL Server認証のみがサポートされます。

1.2 SAP ERPシステム

「アプリケーション認証情報注入」機能を使用してSAP GUIへのセッションを成功して確立するためには、以下の要件が満たされていることを確認してください：

  1. PAM360リモート接続アプリケーションがインストールされているマシンは、PAM360サーバーとシームレスに接続できる必要があります。
  2. PAM360 Remote Connectクライアントを実行しているマシンには、SAP GUIバージョン770以降がインストールされている必要があります。SAP実行ファイルは、PAM360の「アプリケーション」ページで設定されたのと同じファイルパスからアクセス可能である必要があります。PAM360はこのパスを使用して、ユーザーのマシン上でSAPクライアントを起動し、アプリケーションセッション中に認証情報を自動的に注入します。アプリケーションファイルパス設定に関するガイダンスについては、関連するセクションをご参照ください。
  3. SAPアプリケーションのインターフェース言語が英語に設定されていることを確認してください。
  4. SAPアプリケーションは、関連するシステムID、 クライアント番号 、ユーザー名、およびパスワードを指定して、PAM360のリソースとして追加する必要があります。
  5. PAM360リモート接続からのSAPセッション中に「アプリケーション認証情報の注入」が確実に機能するようにするには、PAM360サーバーに有効なWebサーバー証明書が必要です。

1.3 SSH/SFTP サーバー

PAM360リモート接続経由でWinSCPを使用してターゲットサーバーへのセッションを確立するためには、以下の要件が満たされていることを確認してください。

  1. サポートされているリソース種別は、Windows、Linux、 およびWindowsドメインです。
  2. WinSCPを使用してこれらのリソースに接続するためには、「リソース追加」ウィンドウの「自動ログオンする SSHポート番号」フィールドにシームレスな接続のための正しいポートを設定する必要があります。
  3. WinSCPは複数のファイル転送プロトコルをサポートしていますが、PAM360リモート接続では現在、WinSCPアプリケーションを使用した「アプリケーション認証情報の注入」機能によるSFTP接続のみをサポートしています。また、PAM360リモート接続から起動されたWinSCPセッションでは、複数のタブによる接続はサポートされていません。

2. アプリケーション認証情報注入を使用したリモート接続の起動

必要な前提条件を満たした後、PAM360リモート接続アプリケーションから直接、サポートされているサードパーティ製のシッククライアントアプリケーションを使用して、データベースサーバーやSAPシステムへのリモート接続を開始できます。DBeaver、MySQL Workbench、SAP GUIなどのツールで「アプリケーション認証情報注入」機能を使用する方法については、各ツールのヘルプドキュメントをご参照ください。

3. PAM360でのアプリケーションの詳細の変更

デフォルトでは、PAM360にはサードパーティ製のシッククライアントアプリケーション向けに以下の設定が事前に構成されています：

  1. Windows環境の場合、インストールパスはC:\Program Files\<application name>に設定されています。
  2. デフォルトでは、DBeaverおよびMySQL Workbenchアプリケーションのサポート対象リソース種別として、以下のデータベースリソース種別が選択されています：
    • Microsoft SQL Server
    • MySQL Server
    • Oracle DB サーバー
    • PostgreSQL

    注意

    アプリケーション認証情報の注入は、MS SQL Server、MySQL Server、Oracle Database Server、およびPostgreSQLの各データベースリソースタイプでのみサポートされています。現時点では、この設定の下に追加されたデフォルトのデータベースリソースタイプを使用して作成されたその他のカスタムリソースタイプについては、パスワードの自動入力はサポートされていません。

  3. デフォルトでは、SAPログインアプリケーションのサポート対象リソース種別として、SAPリソース種別が選択されています。

サードパーティ製のシッククライアントアプリケーションのデフォルト設定を更新するには、PAM360 Webインターフェースで「Admin」→「Privileged Session」→「自動ログオンヘルパー」→「Applications」に移動し、対象のアプリケーションの「 アプリケーションの詳細を編集」を開き、必要に応じてインストールパスまたはリソース種別を調整してください。

application-credential-injection-1

application-credential-injection-2