SSHコマンドセットを使用したリモートパスワードリセット

現代のIT環境では、組織は多くの場合、多種多様なカスタムリソースとアプリケーションを管理しています。PAM360はWindowsやLinuxなどの標準的なリソースタイプのパスワードリセットを標準でサポートしていますが、カスタムリソースの処理は複雑になる場合があります。これらのリソースのパスワードを手動で更新することは、時間がかかるだけでなく、人為的ミスのリスクを高め、潜在的なセキュリティ上の脆弱性を生み出すことにもなります。

PAM360のSSHコマンドセット機能は、SSH接続をサポートするあらゆるカスタムリソースタイプに対して自動パスワードリセットを可能にすることで、この課題に対処します。特権管理者は、パスワードをリセットするために必要な一連のSSHコマンドを定義し、それらをコマンドセットとしてグループ化することができます。PAM360には、そのまま使用できる一連のデフォルトコマンドが含まれているだけでなく、特定の要件に合わせてカスタマイズしたコマンドを作成できる柔軟性も備えています。これらのコマンドセットは一度定義されると、カスタムリソースタイプに関連付けて、パスワードリセット操作をリモートで実行できるようになります。

SSHコマンドセットを活用することで、組織はIT環境全体における特権アクセスセキュリティを強化できます。この機能は、パスワードリセットの管理を一元化するだけでなく、さまざまな認証方法にも対応し、すべての特権リソースにおいて一貫したセキュリティ対策を保証します。

このヘルプ ドキュメントでは、次のトピックについて詳しく説明します。

1. 役割と権限
2. ワークフロー
3. SSHコマンドの追加
4. コマンドセットの作成
5. カスタムリソースタイプのパスワードリセット方法としてSSHコマンドセットを関連付ける
6. アカウントへのコマンドセットの適用
7. SSHコマンドセットを使用したリモートパスワードリセットの設定

1.役割と権限

デフォルトでは、特権管理者および管理者役割を持つユーザーは、PAM360でSSHコマンドとコマンドセットを追加および管理できます。さらに、PAM360では、管理者が管理 >> カスタマイズ >> 役割 >> 役割を追加 >> パスワード >> パスワード変更で、コマンドの表示およびコマンドの管理権限を持つカスタムユーザー役割を構成して、SSHコマンドとコマンドセットを追加および管理できます。

2.ワークフロー

SSHコマンドセットを使用するカスタムリソースタイプに対してパスワードリセット操作がトリガーされると、PAM360は定義された手順に従ってリセットを完了します。まず、PAM360は対象リソースへの安全なSSH接続を確立します。次に、設定されたSSHコマンドセットを指定された順序で実行します。各コマンドは、パスワードリセット操作を完了する上で重要な役割を果たします。シーケンスが正常に実行されると、PAM360はリモートリソース上のパスワードを更新し、変更を検証します。最後に、新しいパスワードはPAM360リポジトリに安全に保存され、リソースとPAM360間の同期が確保されます。

3.SSHコマンドの追加

SSHコマンドを追加するには、以下の手順に従ってください。

1. [管理] >> [Password Management] >> [SSHコマンドセット] へ移動します。
   
2. 表示されたページのSSHコマンドセクションに、利用可能なデフォルトコマンドの一覧が表示されます。
3. 上部のパネルにあるコマンドの追加ボタンをクリックします。
   
4. 表示されるコマンドを追加ウィンドウに、以下の詳細を入力してください。
   • コマンド名 - 追加する SSH コマンドの名前を入力してください。
   • コマンド - リモートリソース上で実行する正確なコマンドを指定します。
   • プロンプト - PAM360がコマンドの正常な実行を確実に識別できるように、想定されるプロンプト文字列を定義します。入力するプロンプトは、CLI（コマンドラインインターフェース）で入力するものと同じである必要があります。例えば、装置のプロンプトがコロンとスペースの場合は、ここに: のように入力する必要があります。
   • タイムアウト - このフィールドに、PAM360サーバーがターゲットリソースからの応答を待つ時間を入力します。
   • 説明 - この欄にコマンドの簡単な説明を入力してください。
5. 必要な情報を入力したら、保存ボタンをクリックしてコマンドを追加してください。

既存のSSHコマンドを削除するには、削除したいコマンドの横にあるアクションコラムのコマンドを削除アイコンをクリックし、確認ポップアップウィンドウで削除ボタンをクリックします。

4.コマンドセットの作成

カスタムリソースタイプのパスワードリセット操作を実行するために必要なコマンドを追加したら、コマンドセットの追加に進むことができます。PAM360にコマンドセットを追加するには、以下の手順に従ってください。

1. [管理] >> [Password Management] >> [SSHコマンドセット] へ移動します。
2. 表示されたページで、SSHコマンドセットタブに切り替え、上部のパネルにあるコマンドセットの追加ボタンをクリックします。
   
   
   
3. 表示されるコマンドセットを追加ウィンドウに、以下の詳細を入力します。
   1. 名前 - 追加する SSH コマンドセットの名前を入力してください。
   2. 説明 - このフィールドに、コマンドセットの簡単な説明を入力してください。
4. コマンドセットを追加ウィンドウの左側には、コマンド名セクションに、お使いの環境で使用可能なすべてのSSHコマンドのリストが表示されます。右側には、以下の2つのセクションがあります：検証コマンド シーケンスとコマンドシーケンスのリセットです。ここでは、パスワードの検証とパスワード変更操作に関連するSSHコマンドのリストをそれぞれ表示できます。
5. 目的のSSHコマンドにカーソルを合わせ、そのSSHコマンドの横に表示される検証または変更ボタンをクリックすると、そのコマンドがそれぞれのシーケンスに追加されます。
6. 必要なSSHコマンドについても前の手順を繰り返し、必要なSSHコマンドを追加した後でシーケンスを確認してください。
7. 変更を保存するには、[保存] をクリックします。

これで、関連付けられたカスタムリソースタイプのパスワード検証およびリセット操作中に、SSHコマンドが指定された順序で実行されます。

5.カスタムリソースタイプのパスワードリセット方法としてSSHコマンドセットを関連付ける

カスタムリソースタイプのパスワードリセット方法としてSSHコマンドセットを設定するには、以下の手順に従ってください。

1. リソースタブに移動し、上部のパネルのリソース→リソース種別ボタンをクリックします。お使いの環境において、レガシーシステム用のカスタムリソースタイプをまだ作成していない場合は、このリンクの手順に従ってカスタムリソースタイプを追加してください。
2. 表示されたリソースタイプページで、目的のリソースタイプの横にある編集コラムの下の編集アイコンをクリックします。
3. 表示されるリソース種別を編集ウィンドウで、高度な設定タブに切り替え、SSHコマンドセットラジオボタンを有効にします。
   
4. お使いの環境で使用可能なSSHコマンドセットの一覧が表示されます。目的のコマンドセットにカーソルを合わせ、[選択]ボタンをクリックすると、選択したリソースタイプのリモートパスワードリセット構成として関連付けられます。
5. 変更を保存するには、[保存] をクリックします。

6.アカウントへのコマンドセットの適用

関連するSSHコマンドセットを必要なアカウントに適用するには、以下の手順に従ってください。

1. リソースタブに移動し、パスワードリセット操作用のSSHコマンドセットを関連付けたいアカウントが属するリソースをクリックします。
2. 表示されるアカウント情報ウィンドウには、選択したリソース内で利用可能なすべてのアカウントのリストが表示されます。目的のアカウントの横にあるチェックボックスをオンにして、上部のパネルにあるコマンドセットを一括適用ボタンをクリックします。
3. 表示されるポップアップフォームで、SSHコマンドセットのドロップダウンフィールドから目的のSSHコマンドセットを選択し、保存をクリックします。
   

必要なアカウントを使用して、SSHコマンドセットを正常に適用しました。次に、リモートパスワードリセットの設定を完了して、パスワードリセット操作が正常に実行されるようにしてください。

7.SSHコマンドセットを使用したリモートパスワードリセットの設定

1. リソース タブに移動し、SSH コマンド セットを使用してリモートパスワード変更を設定するカスタム リソース タイプの目的のリソースの横にあるリソース アクション アイコンをクリックし、表示されたオプションから [設定] >> [リモートパスワード変更] を選択します。
2. 表示されるパスワード変更用の資格情報を設定ウィンドウで、以下の詳細を入力します。
   • リモートログイン方法 - PAM360がターゲットリソースに接続する方法を選択します。希望するリモートログイン方法の横にあるラジオボタンを有効にしてください。
     
   • ポート - リモート接続に使用するポート番号を入力してください。SSH ベースのリセットの場合、通常はポート 22 が使用されますが、対象システムがカスタム ポートを使用するように構成されている場合は除きます。
   • Userモード プロンプト - ログイン時にリソースがユーザー名の入力を待っていることを示すプロンプト文字列を指定します。PAM360はこれを利用して、セッション内の適切な段階で検出と応答を行います。
   • ランディング サーバー - リソースに中間サーバー経由でしかアクセスできない場合は、利用可能なリストからランディングサーバーを選択します。
   • リモート ログイン アカウント - リソースにリモートでログインし、パスワードリセット操作を実行するのに十分な権限を持つアカウントを選択します。このアカウントには、リセットに必要なSSHコマンドを実行するためのアクセス権が必要です。
   • rootアカウント - 利用可能なオプションからルートアカウントを選択してください。
   • ルート ユーザー プロンプト - ルートアカウントに切り替えた後、セッションが入力待ち状態であることを示すプロンプト文字列を指定します。PAM360は、ルート権限への切り替えが成功したことを認識するためにこれを使用します。
3. 必要な情報を入力したら、保存をクリックして設定変更を保存してください。

これでSSHコマンドセットを使用して、カスタムリソースのリモートパスワードリセットの設定が正常に完了しました。このリソースタイプのアカウントに対してパスワードリセットがトリガーされると、PAM360は、パスワードリセット方法に関連付けられたSSHコマンドセットで定義されたSSHコマンドのシーケンスに従ってリセットを実行します。