PAM360 の基本的な導入方法とベストプラクティス

重要なリソースと特権アカウントを管理する前に、PAM360 アカウントを適切に設定することが重要です。セットアップ プロセスには、メール サーバーの構成、取得したライセンス キーを使用したアカウントのアップグレード、暗号化キーの管理、ユーザーのオンボーディング、二要素認証によるセキュリティの強化など、いくつかの重要な手順が含まれます。PAM360 アカウントが正しく安全に設定されていることを確認するために、これらの各手順を詳しく見ていきましょう。

  1. ライセンス
  2. PAM360 暗号化キーの管理
  3. PAM360 暗号化キーのローテーション
  4. PAM360 Webサーバー証明書の更新
  5. メールサーバーの設定
  6. ユーザーの追加
  7. リソースの追加
  8. 災害復旧のセットアップ

1.ライセンス

PAM360 アプリケーションを構成する前の重要なステップは、PAM360 アカウントのライセンス キーを更新することです。このステップにより、ソフトウェアの完全な機能がロック解除されます。このプロセスを開始する前に、購入したライセンス ファイルをコンピューターにローカルに保存して、簡単にアクセスできるようにします。

  1. PAM360 インターフェースの右上隅にある［プロファイル］アイコンをクリックし、［ライセンス］オプションを選択します。このアクションにより、現在のライセンスの詳細を表示するポップアップ ウィンドウが開きます。
  2. ［ライセンス］ ポップアップ ウィンドウ内の［参照］オプションをクリックし、お使いのコンピューター上のライセンス ファイルを見つけて選択します。
  3. 選択したライセンス ファイルをアップロードするには、[開く] をクリックします。
    licensing
  4. 最後に、ライセンス ウィンドウ内の［アップグレード］アイコンをクリックしてプロセスを完了します。
  5. PAM360 Web クライアントを閉じて、PAM360 サービスを再起動します。

2.PAM360暗号化キーの管理

PAM360 は、パスワード データベース内のパスワードやその他の機密情報を保護するために AES-256 暗号化を採用しています。使用される暗号化キーは自動生成され、インストールごとに一意です。デフォルトでは、このキーはインストール ディレクトリの <PAM360_インストールディレクトリ>/conf フォルダ内の pam360_key.key という名前のファイルに保存されます。ただし、本番環境のインスタンスでは、PAM360 では、ライブ データベースとバックアップ データベースの両方で暗号化キーと暗号化データが一緒に存在することを防ぐために、暗号化キーをインストール フォルダ内に保存しないことが義務付けられています。

この暗号化キーを、PAM360 がインストールされているマシンの外部の、別のマシンや外付けドライブなどの場所に再配置することを強くお勧めします。pam360_key.key ファイルの移動先のフォルダの完全パスを指定し、その場所にファイルを手動で転送して、PAM360 サーバーのインストール フォルダ内のすべての参照を削除します。パスは、マッピングされたネットワークドライブまたは外部USB（ハードドライブ/サムドライブ）デバイスにすることができます。

managing-pam360-key

PAM360 は、<PAM360_インストールディレクトリ>/conf フォルダにある manage_key.conf という名前の構成ファイルに pam360_key.key の場所を記録します。このファイルを直接編集して、キー ファイルの場所を変更することもできます。フォルダの場所を設定したら、pam360_key.key ファイルをそこに移動し、ファイルまたはキー値が PAM360 インストール フォルダ内のどこにも保存されていないことを確認します。

PAM360 では、起動時に pam360_key.key ファイルを読み取るために必要な権限で conf パスにアクセスできる必要があります。起動が完了すると、ファイルへのアクセスは不要になり、ファイルを含むデバイスをオフラインにすることができます。

メモ：

PAM360 ビルド 8000 以降では、シームレスな操作のために、manage_key.conf ファイルで指定されたファイル パスに pam360_key.key ファイルを保持することが必須です。PAM360 は、中断のない動作を確保するためにこのファイルに継続的にアクセスします。指定されたパスに pam360_key.key ファイルがない場合、サービスが起動しないか、データベース バックアップなどの特定の機能が動作しない可能性があります。

メモ：

  • Windows ファイル暗号化や厳格なアクセス制御など、多層セキュリティを使用して暗号化キーを強力に保護することを常に確保してください。このキーへのアクセスが必要なのは PAM360 アプリケーションのみであるため、いかなる状況でも他のソフトウェア、スクリプト、または個人がこのキーにアクセスできないようにする必要があります。
  • pam360_key.key ファイルを個別に安全にバックアップすることが重要です。PAM360 バックアップを復元するにはこのキーが必要になります。キーを置き忘れたり紛失したりすると、PAM360 は起動しません。
  • さらに、database_params.conf ファイルを別の場所に保存している場合は、アプリケーションのアップグレードを実行する前に、元の場所 (<PAM360 Installation Folder>/conf/) にコピーし直す必要があります。

3.PAM360 暗号化キーのローテーション

PAM360 暗号化キーは、データベースに保存されている特権認証情報やその他の機密情報を保護する上で重要な役割を果たします。同じ暗号化キーを長期間使用すると、時間の経過とともに侵害のリスクが高まります。このリスクを最小限に抑えるには、組織は確立されたセキュリティのベスト プラクティスと関連する規制要件に従って、暗号化キーを定期的にローテーションする必要があります。PAM360 は、データの整合性に影響を与えることなく暗号化キーをローテーションするための安全で合理化されたメカニズムを提供します。

3.1 キー ローテーション プロセス

キーのローテーション プロセスが開始されると、PAM360 はまず、manage_key.conf ファイルで指定されたパスにある pam360_key.key ファイル内の既存の暗号化キーを識別します。指定された場所に既存のキー ファイルが存在する場合にのみ、キーのローテーション プロセスが続行されます。PAM360 は、予期しない障害が発生した場合にデータが失われないように、暗号化キーをローテーションする前にデータベースのバックアップを作成します。

キーのローテーション プロセス中、保存されているすべてのパスワードと機密データは既存のキーを使用して復号化され、新しく生成された暗号化キーを使用して再暗号化されます。新しい暗号化キーは、指定された場所にある [pam360_key.key] ファイルに書き込まれます。新しい暗号化キーの生成中または書き込み中にエラーが発生した場合、データの整合性を維持するためにキーのローテーション プロセスは中止されます。

3.2 PAM360 暗号化キーをローテーションする手順

メモ：

暗号化キーのローテーションを進める前に、次の点を確認してください。

  • pam360_key.key ファイルが、<PAM360_インストールディレクトリ>\conf フォルダ内の manage_key.conf ファイルで指定されたパスにある。
  • 高可用性セットアップで構成された環境では、高可用性とレプリケーション ステータスがアクティブである。
  • PAM360 には、pam360_key.key ファイルにアクセスするための読み取りおよび書き込み権限がある。
  • 重要な管理操作が実行中でない。

PAM360 暗号化キーをローテーションするには、次の手順に従います。

  1. PAM360 Serviceを停止します。
  2. <PAM360_インストールディレクトリ>/bin フォルダに移動し、コマンド プロンプトを開いて、オペレーティング システムに応じて次のコマンドを実行します。

    Windows:

    RotateKey.bat

    Linux:

    sh RotateKey.sh
    実行すると、暗号化キーが正常にローテーションされ、画面に確認メッセージが表示されます。
  3. 次に PAM360 サービスを開始します。

高可用性設定が構成された環境で PAM360 暗号化キーをローテーションするには、次の手順に従います。

  1. プライマリ サーバーで PAM360 サービスを停止し、セカンダリ サーバーで PAM360 サービスが実行されていることを確認します。
  2. プライマリ サーバーの <PAM360_インストールディレクトリ>/bin フォルダに移動し、コマンド プロンプトを開いて、オペレーティング システムに基づいて次のコマンドを実行します。

    Windows:

    RotateKey.bat

    Linux:

    sh RotateKey.sh
    実行すると、暗号化キーが正常にローテーションされ、画面に確認メッセージが表示されます。
  3. pam360_key.key ファイルがプライマリ サーバーとセカンダリ サーバーの両方からアクセスできる共有の場所に保存されておらず、環境内の異なる場所に保存されている場合は、プライマリ サーバーから pam360_key.key ファイルをコピーし、セカンダリ サーバーの manage_key.conf ファイルで指定された場所に配置します。
  4. プライマリ サーバーとセカンダリ サーバーの両方で PAM360 サービスを開始します。

アプリケーション スケーリング設定で構成された環境で PAM360 暗号化キーをローテーションするには、次の手順に従います。

  1. メイン ノードとすべてのサブ ノードで PAM360 サービスを停止します。
  2. メイン ノードの <PAM360_インストールディレクトリ>/bin フォルダに移動し、コマンド プロンプトを開いて、オペレーティング システムに基づいて次のコマンドを実行します。

    Windows:

    RotateKey.bat

    Linux:

    sh RotateKey.sh
    実行すると、暗号化キーが正常にローテーションされ、画面に確認メッセージが表示されます。
  3. 次に、メイン ノードで PAM360 サービスを開始します。起動が成功したら、次の手順に従います。
    • メイン ノードの database_params.conf ファイル内のパスワード パラメーターの値をコピーし、各サブノードの対応する値を置き換えます。
    • 環境内で構成されているバックエンド データベースが PostgreSQL の場合は、メイン ノードの new_superuser_pass パラメーターの値をコピーして各サブノードの値と置き換えます。
    • 構成されたバックエンド データベースが MSSQL の場合、メイン ノードの conf フォルダ内の masterkey.key ファイルを各サブノードにコピーします。
    • メイン ノードの server.xml ファイル内の keystorePass エントリの値をコピーして各サブノードの値に置き換えます。
    • メインノードの manage_key.conf ファイルで指定された場所から pam360_key.key ファイルを各サブノードにコピーします。
  4. すべてのサブノードで PAM360 サービスを開始します。

メモ：

PAM360 ビルド 8000 より前では、暗号化キーのローテーション プロセスの期間は、管理されるパスワードの数やその他のシステム パラメーターによって異なる場合があります。通常、このプロセスは完了するまでに数分かかります。キーのローテーションが完了すると確認メッセージが表示されます。

4.Web コンソールから PAM360 Web サーバー証明書を更新

Web コンソールから PAM360 Web サーバー証明書を更新するには、次の手順に従います。

  1. [管理] >> [Server Settings] >> [サーバー設定] に移動します。
  2. 開いた［サーバー設定］ページで、SSL 証明書に属する［Keystore File］をインストールしたり、デフォルトの PAM360 サーバー ポートを変更したりします。
  3. SSL 証明書を更新するには、[鍵ストアの種別] ドロップダウン メニューからキーストア ファイルのタイプ (JKS、PKCS12、または PKCS11) を選択します。
  4. システム上のキーストア ファイルを参照し、[Keystore File] フィールドにアップロードします。
  5. [鍵ストアのパスワード] フィールドにキーストア ファイルのパスワードを入力します。
  6. デフォルトの PAM360 サーバー ポートを変更する場合は、[ポート] フィールドに新しいポート番号を入力します。
  7. 変更を保存したら、[保存] をクリックして PAM360 を再起動します。
    server-certificate

5.簡易メール転送プロトコル (SMTP) の構成

重要なメッセージをユーザーに配信するには、簡易メール転送プロトコル (SMTP) サーバーを設定することが不可欠です。PAM360 は、ユーザー名、パスワード、PAM360 アプリケーションにアクセスするための URL などのアカウント詳細をユーザーに電子メールで通知します。したがって、ユーザーをオンボーディングする前に SMTP サーバーを構成することが重要です。PAM360 は次のオプションを提供します。

  1. 組織内の既存の SMTP メール サーバー
  2. Microsoft Exchange Online

メモ：

メール サーバーとして Microsoft Exchange Online を選択した場合、製品から送信されるすべての電子メール通信に OAuth 2.0 認証が必要になります。

構成とセットアップの詳細については、メール サーバー設定のドキュメントを参照してください。

6.PAM360 へのユーザーの追加

メモ：

別の管理者ユーザーを追加した後は、必ずデフォルトの管理者ユーザーのパスワードを変更するか、アカウントを削除してください。

ユーザーのオンボーディングは、PAM360 アカウントを設定する上で重要なステップです。PAM360 を使用すると、ユーザーを手動でオンボードしたり、ファイル、Active Directory、Microsoft Entra ID、LDAP などのさまざまなソースからインポートしたりできます。各方法の詳細な手順については、提供されているリンクを参照してください。管理者アカウントを使用すると、ユーザーを追加またはインポートし、必要な権限に基づいて役割を割り当てることができます。PAM360 では 6 つの定義済みユーザー役割が提供されますが、柔軟にカスタム役割を作成することも可能です。これらのカスタム役割を使用すると、組織のニーズに応じてアクセスと権限を変更できます。

さらに、PAM360 を使用すると、役職、部署、場所などの要素に基づいてユーザーをグループに編成できるため、効率的なユーザー管理が容易になり、権限の割り当てが簡素化されます。

さらに、PAM360 は、アプリケーション間のパスワード管理に必要な API ユーザー アカウントの作成をサポートしています。管理者権限を持つユーザーは、API ユーザーを追加できます。API ユーザーを追加する詳細な手順については、ここをクリックしてください。

6.1 二段階認証の有効化

二段階認証 (TFA) は、ユーザーが PAM360 アカウントにアクセスするために 2 番目の認証要素を提供することを要求するセキュリティ メカニズムです。TFA を有効にすると、保護層が追加され、アカウントのセキュリティが強化されます。TFA を有効にすると、ユーザーはユーザー名とパスワードでログインした後、選択した TFA メカニズムを使用して認証する必要があります。管理者アカウントには、TFA を設定および無効にする機能があります。

PAM360 は、電子メール経由の OTP、Google Authenticator、Duo Security など、さまざまな TFA メカニズムをサポートしています。管理者は、サポートされているメカニズムのいずれかを選択し、それに応じて構成できます。二段階認証を設定する詳細な手順については、このドキュメントを参照してください。

7.PAM360 へのリソースの追加

PAM360 を使用したパスワード管理の最初のステップは、リソースを PAM360 データベースに追加することです。リソースとは、ユーザー アカウントとパスワードが PAM360 によって管理されるサーバー、アプリケーション、またはデバイスを指します。

リソースは手動で追加することも、ユーザー アカウントとパスワード情報とともにファイルからインポートすることもできます。ニーズに応じて、パスワードのリセット方法をリモートまたはエージェントベースに設定できます。管理を容易にするために、リソースをグループ化して一括操作を実行できます。さらに、ナビゲーションの利便性のために階層構造を維持しながら、ネストされたリソース グループを作成することもできます。

デフォルトでは、パスワードを追加したユーザーのみがパスワードを表示および編集できます。ただし、必要に応じて、リソース パスワードを他の PAM360 ユーザーまたはユーザー グループと共有できます。これにより、ユーザーは自分が所有しているパスワードや共有されているパスワードにアクセスして変更できるようになります。

7.1 アクセス制御承認ワークフロー

リソースを追加した後、管理者はセキュリティを強化するためにアクセス制御ワークフローを実装できます。PAM360 への認証が成功すると、ユーザーは自分が所有しているパスワードまたは共有されているパスワードにアクセスできるようになります。場合によっては、管理者は特定のユーザーに限られた期間だけパスワードへの一時的なアクセスを許可したい場合があります。

組織の要件に応じてアクセス制御ワークフローを設定します。

ただし、割り当てられたパスワードを表示する必要があるユーザーの場合は、追加の構成は必要ありません。必要な権限がある場合は、リソースまたはアカウントのパスワードを直接表示および編集できます。

8.災害復旧のセットアップ

災害復旧を設定するには、次の手順に従います。

  1. データベースのバックアップの構成：PAM360 データベース全体の定期的なバックアップをスケジュールします。
  2. リソース情報のエクスポート：コピーを維持するために、リソース情報を任意の読み取り可能な形式でエクスポートします。