PAM360のManageEngine ADManager Plusとの連携

ManageEngine PAM360はManageEngine ADManager Plus（ADMP）と連携し、Active Directory（AD）環境へのアクセスを管理および保護する包括的なソリューションを提供します。この連携により、IT管理者はADセキュリティグループを一元化して管理し、ドメインユーザーの権限昇格を効率化できます。

PAM360は、APIとセットアップ時に設定されたサーバー認証情報を使ってADManager Plusに接続します。連携が完了すると、ADMPで管理されているADセキュリティグループがすべて自動的に取得され、PAM360に一覧表示されます。この後、管理者はPAM360インターフェイスから直接、これらのグループの管理（ドメインアカウントの追加または削除）を行えるため、ツールを切り替える必要がなくなります。これにより、アクセス制御ポリシーを効率的に適用でき、組織のニーズに基づいてドメインアカウントのジャストインタイムの権限昇格を容易に実行できます。

さらに、この連携では、2つのソリューション間のパスワード管理が強化されます。以前のバージョンでは、PAM360でドメインアカウントのパスワードがローテーションされるごとに、アクセスを中断なく維持するため、更新されたパスワードをADMPに手動で入力する必要がありました。この手動を更新しない場合、ADユーザーはパスワードリセットの失敗やアカウントのロックなどの問題に直面する可能性があり、ヘルプデスクへの依頼が増加する原因とる場合があります。ビルド7300以降のPAM360では、ADMPのドメインアカウントをPAM360の対応アカウントと関連付けすることができるようになることで、この制限に対応します。マッピングが完了すると、PAM360で実行されたパスワードローテーションは、ADMP内の対応アカウントと自動的に同期されます。これにより、両方のプラットフォーム間でパスワードの整合性が確保され、管理上の負担が最小限に抑えられることで、Active Directory環境全体でユーザー操作をシームレスに維持できます。

本ドキュメントでは、PAM360のADMPとの連携プロセスについて説明します。本書の終わりには、以下について学ぶことになります：

1. 前提条件
2. ADMP連携の構成
3. アカウントのADManager Plusセキュリティグループへのマッピング
4. ADMP内のドメインアカウントとPAM360との関連付け
5. トラブルシュートのヒント

1.前提条件

連携を開始する前に、以下の前提条件がすべて満たされているかどうかを確認してください：

1. PAM360は、HTTPS経由のみの接続をサポートするため、サーバーで有効なSSL証明書のインポートは必須です。下の手順にしたがって、証明書をサーバーにインポートします：
   1. PAM360 Serviceを停止します。
   2. コマンドプロンプトを管理者権限で開き、<PAM360-Installation-Directory>/bin フォルダに移動し、以下のコマンドを実行してください：
      

      importCert.bat <Absolute-Path-of-the-ADMP-Certificate>

   3. それでは、PAM360サービスを再起動してください。
2. 証明書のコモンネームは、アクティブなADMP Serverのホスト名と一致している必要があります。
3. PAM360の少なくとも1人の認証管理者は、ADMPの有効な技術担当者である必要があります。

2.ADMP連携の構成

PAM360-ADManager Plus連携に関連する構成のすべてをPAM360ポータルから実行できます。連携を実行するには、ADManager Plusがインストールされているマシンのホスト名とポート詳細を入力します。必要な詳細をすべて入力し、構成を保存したら、PAM360は、ADManager Plusと接続のセットアップを試行します。接続が正常に完了したら、ドメイン詳細がADManager Plusから取り込まれ、PAM360データベースに保存され、連携が確立されます。

1. ［管理］>>［連携］>>［ManageEngine］の順に移動します。
2. 表示されるページで、『有効にする』ボタンをクリックして、ADManager Plus連携を構成します。すでに有効になっていて、編集する場合は、『編集』をクリックします。
3. 次の詳細を下記のとおり構成します：
   1. ADManager Plus ホスト名を入力します。
   2. ADManager Plusサーバーのポートを入力します。
      
   3. ［有効にする］をクリックして、設定を保存します。
4. 次に、ADManager Plus Webコンソールにアクセスし、『Admin』>>『Integrations』>>『PAM360』の順に移動します。『Enable Integration』トグルがオンになっていることを確認します。
5. Server Detailsで、必須フィールドにPAM360Server where PAM360 is runningおよびPAM360 server port numberを入力します。
   
6. ［Enable tight integration with PAM360〛チェックボックスを有効にし、［Test Connection and Save〛ボタンをクリックして接続を確認し、設定を保存します。
   

PAM360 - ADManager Plus連携はこれで有効になります。ADセキュリティグループへのドメインアカウントのマッピングに進みます。

3.アカウントのADManager Plusセキュリティグループへのマッピング

PAM360-ADManager Plus連携が完了したら、下の手順にしたがって、ポリシー構成を実行します。Policy Configurationオプションでは、ドメインアカウントをセキュリティグループに時間どおりに昇格できます（ADセキュリティグループがすでにドメインコントローラーに存在し、拡張機能でADManagerにも存在します）。

1. ［リソース］ >> ［リソース追加］の順に移動し、ADドメインコントローラーをPAM360にリソースとして追加します。
2. 必要なリソースの横の［リソースアクション］をクリックし、［設定］ー＞［アクセス制御］をクリックします。
3. 承認管理者タブで、ここに一覧表示されている承認者の少なくとも1人がADManager Plusの有効な技術担当者でもあることを確認します。これは、ポリシー構成の変更が適用されたら、選択したリソースへのアクセス要求の承認を促進するためです。
4. 「ポリシー設定」タブで、［選択］をクリックして、ADManager Plusで利用可能なＡＤグループをすべて一覧表示します。
5. リソース追加先のグループを選択し、［保存］をクリックします。「選択したグループ」ボックスに、選択されたグループを表示できます。
   
6. ［以下のセキュリティ グループに追加してアカウント権限を昇格します］オプションを選択し、［保存&アクティブ化］をクリックします。
   

これで、リソースがパスワードユーザー/パスワード監査者機能でユーザーと共有されると、パスワードアクセスまたは昇格を要求できます。この要求は、ユーザーロールが以下の基準を満たしているかぎり、承認者リストの管理者が承認または拒否できます：特権昇格を指定されたユーザーは、PAM360に管理者ロール(すなわち、以下のユーザーロールのいずれか：特権管理者、管理者、およびパスワード管理者)が必要で、ADManager Plusでは、下の権限のいずれかがあるユーザーロールが必要です：「ユーザーの変更」と「グループの変更」。ただし、PAM360で特権昇格を受け取るユーザーは、ADManager Plusに特別権限は不要です。PAM360のユーザーロールについての詳細は、こちらをクリックしてください。

4.ADMP内のドメインアカウントとPAM360との関連付け

ADMPのドメインアカウントをPAM360に関連付けることで、シームレスなパスワード同期が可能になります。PAM360でパスワードローテーションが発生すると、ADMP内で対応するパスワードが自動的に更新されます。ドメインアカウントの詳細を関連付けるには、次の手順に従います：

1. [リソース] タブに移動し、目的の Windows ドメインリソースの横にある ［リソースアクション〛 ドロップダウンをクリックして、 ［関連付けする］-> ［ADManager Plus］を選択します。

   メモ：

   このオプションは、Windows Domainリソースにのみ利用でき、またアクティブな ADMP連携とのみ利用できます。

2. 表示されるウィンドウで、［取得］ボタンをクリックして、ADMPからドメイン名をインポートします。
   
3. それぞれのドロップダウンから、関連付けるドメインの詳細、すなわち、Domain NameとAccount Nameを選択します。

   メモ：

   • PAM360のDomain Account Nameは、ADMPで選択されたDomain Account Name に基づいて自動的に選択されます。
   • ADMP-PAM360のドメインアカウント詳細に不一致が疑われる場合、アラートメッセージが表示されます。ADMPの正しいドメインアカウント詳細をPAM360に関連付けたか確認します。この場合のみ、ADMP の適切なドメインアカウントを使用してドメインアカウントパスワードの自動同期が行われます。

PAM360でADMPのドメインアカウント詳細を関連付けると、PAM360からリモートパスワードリセットが実行された際に、ドメインアカウントパスワードの自動同期が行われます。

5.トラブルシュートのヒント

連携中または使用中に問題が発生した場合は、一般的な問題を解決するために次のヒントに従ってください：

1. 必要な証明書がすべてPAM360に正しくインポートされていることを確認してください。証明書が不適切である、あるいは欠落している場合、接続の失敗やデータ取得の問題につながる可能性があります。
2. PAM360とADMPサーバーが両方とも相互に通信できることを確認してください。データ交換との連携を正常に行うには、ネットワーク接続が双方向である必要があります。
3. ［アクセス制御］>>［Policy Configuration］の順に移動してもユーザーグループが表示されない場合は、ドメイン名が PAM360内のWindows Domain Controller (DC)リソースで正しく指定されているか確認してください。ドメイン名が正しくない、または不足している場合、PAM360が関連付けられたグループを取得できない可能性があります。

問題が解消しない場合は、pam360-support@manageengine.comにてサポートまでお問い合わせください。