PAM360のユーザーグループによるユーザー管理

PAM360 のユーザーグループを使用すると、管理者は役割、責任、または部署に基づいてユーザーを整理できるため、アクセス管理が効率化されます。ユーザー グループは、同様のアクセスを必要とする複数のユーザーと特権リソースを共有するプロセスを簡素化するのにも役立ちます。管理者は複数のユーザーをユーザー グループに関連付け、必要な共有権限を付与して必要なリソースまたはリソース グループを共有できます。このアプローチにより、リソースを共有するときに各ユーザーを個別に選択する必要がなくなり、より効率的で時間の節約になるプロセスが実現します。さらに、管理者は、アクセス制御ワークフローを構成する際に、ユーザー グループをパスワード アクセス要求の承認管理者として指定できます。ユーザーグループを使用すると、管理者はユーザーを効率的に管理し、リソース アクセスを共有し、ワークフローを構成できます。

このヘルプ ドキュメントでは、次のトピックについて詳しく説明します。

  1. ユーザーグループの追加
  2. Active Directory からのユーザーグループのインポート
  3. ユーザー グループ権限の設定
  4. オフライン アクセス用のパスワードのエクスポート
  5. ユーザーグループの管理

1.ユーザーグループの追加

新しいユーザーグループを作成するには、[ユーザー] >> [ユーザーグループ] タブに移動し、[グループ追加] をクリックします。開いたポップアップで、［グループ名］と［メモ］を入力し、[保存して続行] をクリックします。

user_groups1

ユーザー グループが追加されると、[ユーザーをXXX（ユーザーグループ名）に追加] ウィンドウが開きます。ここで、必要なユーザーの横にある [グループへ追加] をクリックして、ユーザーグループに追加します。ユーザーを追加したとき、変更が有効になります。
user_groups3

2.Active Directory からのユーザーグループのインポート

AD からグループと組織単位 (OU) をインポートし、PAM360 内の同じユーザーグループ構造に保持できます。これにより、ディレクトリ サービスで定義されているグループベースの権限を複製および管理できるようになり、アクセス管理が効率化されます。AD からユーザーをインポートする方法の詳細については、ここをクリックしてください。インポート時に、PAM360 のユーザーグループ構造を AD のユーザーグループ構造と定期的に同期できます。AD 同期スケジュールの詳細については、ここをクリックしてください。[ユーザー グループ] タブには、AD からインポートされたすべてのユーザーグループが一覧表示されます。［フィルタ］ オプションを使用すると、ユーザー グループがインポートされたユーザー ディレクトリに基づいてユーザーグループを表示できます。AD ドメインからインポートされたユーザー グループのリストを表示するには、[フィルタ] >> [ADユーザーグループ] を選択します。

メモ：

PAM360 ビルド 8100 以降では、[ユーザーグループ] タブに新しいフィルター オプション [Empty User Groups] が追加され、環境内のユーザーがいないすべてのユーザーグループのリストが表示されます。これらは、ユーザーが含まれていない、PAM360 で作成されたユーザーグループ、または AD ドメイン内のユーザーグループである可能性があります。


3.ユーザーグループ権限の設定

[ユーザー] >> [ユーザーグループ] タブに移動し、必要なユーザーグループの横にある [アクション] アイコンをクリックして、[ユーザー設定] をクリックします。

メモ：

[ユーザー設定] ウィンドウで行われた設定の変更は、選択したユーザーグループに属するユーザーにのみ適用されます。


user_groups4

次の必要なユーザーグループ権限を有効にします：

  1. 自動ログオンが構成されている場合、パスワードのプレーンテキスト表示を許可。：このオプションを有効にすると、自動ログオンが構成されている場合に、ユーザー グループのメンバーに共有リソースのパスワードをプレーン テキストで表示する権限が付与されます。このオプションを無効にすると、グループ メンバーはパスワードを直接取得できなくなりますが、自動ログオンを介してリモート セッションを開始することはできます。この制限は、パスワード ユーザー、パスワード監査担当者、および同様の権限を持つカスタム ロールに特に適用されます。
  2. パスワードのプレーン テキスト表示が無効になっている場合、ブラウザ拡張機能を介して URL で構成されたリソースの自動ログオンを許可します。：このオプションを使用すると、プレーンテキスト パスワードの表示が無効になっている場合でも、ユーザーは手動で認証情報を入力せずに Web サイトや Web アプリケーションに自動的にログインできます。セキュリティを維持するために、クライアント側のブラウザとユーザー システムで必要なセキュリティ対策を確実に実施することが重要です。
  3. パスワード取得時、ユーザーに理由の入力を強制: この設定を有効にすると、ユーザーにパスワードを取得するときに理由の入力を求めるプロンプトが表示されます。この要件は、パスワード ユーザー、パスワード監査担当者、および同等の権限を持つカスタム ロールにのみ適用されます。
  4. 個人用パスワードの管理を許可する: 個々のユーザーは、[パーソナル] タブでクレジットカードの PIN や銀行口座の認証情報などの個人パスワードを管理できます。特定のユーザー グループの個人パスワード管理を制限するには、このオプションの選択を解除します。無効にすると、選択したグループのすべてのメンバーの PAM360 インターフェースで [パーソナル] タブが非表示になります。
  5. 個人用パスワードのエクスポートを許可する: このオプションを有効にすると、グループ内のユーザーは[パーソナル]タブに保存されている個人パスワードをエクスポートできるようになります。特定のユーザー グループのパスワードのエクスポートを制限するには、このオプションの選択を解除します。
  6. グループ メンバーが所有する動的リソース グループを他のメンバーと共有することを許可し、[フル アクセス]権限を付与する：デフォルトでは、動的リソース グループへのフル アクセスを許可する権限は、［ユーザー設定］で無効になっています。
    この設定は、管理者が所有していないリソースに不正にアクセスする可能性があるため、セキュリティ上の理由からデフォルトで無効になっています。
    有効にすると、動的リソース グループへのフル アクセスが付与されたユーザーは、グループ内のすべての既存のリソースと、特定の条件 ([リソースグループに～を含む]等の条件で作成されたリソースグループがある場合など) に基づいて追加される将来のリソースにフル アクセスできるようになります。
    動的リソース グループに対するフル アクセス権限を付与する権限が必要な管理者、パスワード管理者、または特権管理者のみで構成されるユーザー グループを作成することをお勧めします。グループが作成されたら、［ユーザー設定］の下にある [グループ メンバーが所有する動的リソース グループを他のメンバーと共有することを許可し、[フル アクセス]権限を付与する] オプションを有効にします。
  7. パスワード取得時、ユーザーにチケットIDの入力を強制する: この設定を有効にすると、ユーザーはパスワードを取得するときに有効なチケット ID を入力する必要があります。このオプションは、チケットシステムが連携されている場合にのみ適用されます。
  8. チケットIDが無い場合にパスワード取得を許可: このオプションを有効にすると、ユーザーはチケット要求を送信せずに [パスワード] フィールドをクリックしてパスワードを取得できるようになります。この制限は、パスワード ユーザー、パスワード監査担当者、および同様の権限を持つカスタム ロールにのみ適用されます。また、チケットシステムが連携されている場合にのみ適用されます。
    特定のユーザーグループに対してオプション a、c、および h を無効にするには、新しいユーザー グループを作成し、そのグループにユーザーを追加して、そのグループのみの設定をカスタマイズします。

    メモ：

    ユーザーグループに対してオプション a、c、および h を適用するには、設定をローカル (ユーザーグループ レベル) とグローバル (一般設定) の両方で有効にする必要があります。

    • ケース1：一般設定でオプションがグローバルに有効になっている場合、それらはデフォルトですべてのユーザー グループに適用されます。ただし、[ユーザー設定] ウィンドウを使用して、特定のグループに対してこれらの設定を無効にすることができます。
    • ケース2：オプションが [一般設定] でグローバルに無効になっている場合、[ユーザー設定] でローカルに有効になっていても、オプションはユーザーグループには適用されません。

    これらの条件は、パスワード ユーザー、パスワード監査担当者、および同様の権限を持つカスタム ロールにのみ適用されます。

  9. ユーザーがモバイルのオフライン アクセス用にパスワードをキャッシュすることを許可: この設定を有効にすると、ユーザーは PAM360 モバイル アプリケーションにパスワード キャッシュを保存し、オフラインでパスワードにアクセスできるようになります。
  10. ユーザーに指紋認証によるモバイルアプリログインを許可: ユーザーがデバイスの指紋認証を使用して PAM360 モバイル アプリケーションにログインできるようにします。
  11. ユーザーがモバイルでリモート システムに自動的にログインできるようにする: このオプションを有効にすると、PAM360 モバイル アプリを介してリモート システムへの自動ログインが許可されます。
  12. Allow filling web credentials using the PAM360 browser extension.：この設定を有効にすると、ユーザーは PAM360 ブラウザ拡張機能を通じて保存された Web サイト アカウントのログイン認証情報を自動入力できるようになります。
  13. ユーザーにブラウザ拡張を利用したWebサイトに自動ログオンおよびユーザー名とパスワードの自動入力を許可：このオプションを使用すると、ユーザーは PAM360 ブラウザ拡張機能を介して自動ログオン機能を使用してリモート リソースに接続できます。
  14. ブラウザ拡張機能経由でアカウントの追加を無効：このオプションを無効にすると、ユーザーは PAM360 ブラウザ拡張機能を通じてリソースにアカウントを追加できなくなります。ブラウザ拡張機能によるアカウントの追加は Chrome でのみ利用可能であることに注意してください。

4.オフライン アクセス用のパスワードのエクスポート

PAM360 は、安全なオフライン アクセスとパスワード情報の安全な保管のために複数のエクスポート オプションを提供します。ユーザーグループのオフライン エクスポート設定を構成するには、次の手順に従います。

  1. [ユーザー] >> [ユーザーグループ] タブに移動します。
  2. 目的のグループの横にある [アクション] アイコンをクリックし、ドロップダウン メニューから [パスワードのエクスポートを設定] を選択します。
  3. 表示されるポップアップで、必要に応じてオフライン アクセス設定を有効または無効にして、[保存] をクリックします。
    user_groups7

5.ユーザーグループの管理

5.1 ユーザーグループの編集

既存のユーザーグループを変更するには、以下の手順に従います。

  1. [ユーザーグループ] タブに移動します。
  2. 編集するグループの横にある [アクション] アイコンをクリックし、[ユーザーグループを編集] を選択します。
  3. ポップアップ フォームで、［グループ名］と［メモ］を更新できます。
  4. グループに新しいユーザーを追加するか、以前にグループに追加したユーザーを削除するには、グループの横にある [ユーザーの関連付け] アイコンをクリックします。
  5. 開いたユーザー リストから、ユーザーグループに追加するユーザーの横にある [グループへ追加] をクリックします。
  6. グループからユーザーを削除するには、それぞれのユーザーの横にある [削除] をクリックします。

変更は直ちに有効になります。

user_groups8

5.2 ユーザーの既存のユーザーグループへの追加

既存のユーザーグループにユーザーを追加するには、以下の手順に従います。

  1. グループに新しいユーザーを追加したり、以前に追加したユーザーをグループから削除したりするには、必要なグループの横にある [ユーザーの関連付け] アイコンをクリックします。
  2. グループにメンバー以外のユーザーを追加するには、[グループへ追加] をクリックします。
  3. ［削除］をクリックし、以前追加したユーザーをグループから削除します。変更は、直ちに有効になります。
    user_groups9

5.3 複数のユーザーグループへのユーザーの追加

PAM360で複数のユーザーグループにユーザーを追加するには、

  1. [ユーザー] タブに移動し、それぞれのユーザーの横にある [ユーザー アクション] アイコンをクリックして、[ユーザーを複数グループに追加] をクリックします。
  2. 表示されるダイアログ ボックスで、それぞれのユーザーグループの横にある [アクション] コラムの切り替えボタンを切り替えて、ユーザーを目的のユーザー グループに追加します。
  3. 同じ操作を一括で実行するには、必要なユーザーグループを選択し、上部のパネルにある [追加] ボタンをクリックして、ユーザーを複数のユーザー グループに追加します。
    user_groups10

5.4 ユーザーグループの削除

ユーザーグループを削除すると、そのグループに適用されているすべての設定がメンバーに対して有効ではなくなります。ただし、このアクションは PAM360 に保存されているリソースには影響しませんが、グループと共有されているリソースには以前のメンバーはアクセスできなくなります。ユーザーグループを削除するには、次の手順に従います。

  1. [ユーザーグループ] タブに移動し、削除するグループを選択します。
  2. 画面上部の [グループ削除] ボタンをクリックします。
  3. 確認ポップアップで [OK] をクリックして削除を確定します。