Privileged Access Manager ( 以下、PAM) で認証情報マネージャのレポートを定期的に個別のユーザではなく、配布リストに送りたい。
そこで、配布リストをメールアドレスに持つローカルユーザを作成したが、Standard User ロールだと宛先に指定できない。
Global Administrator ロールを付与することで宛先への指定はできるようになるが、与えられる権限が多すぎる。
最小の権限で指定するにはどうしたらよいか?
Privileged Access Manager: All
マニュアルの記載によると、「受信者は、有効な電子メール アドレスを持つすべての認証情報マネージャ ユーザから選択されます。」となっています。
これはすなわち、認証情報マネージャ グループに所属するすべてのユーザが表示されていることを示しています。
認証情報マネージャ グループに所属するためには、以下のいずれかのロールを持つ必要があります。
上記3つの ロールの中では、Password Manager が一番権限が少なくなります。
また、認証情報マネージャ グループの中では、Base Users が最も少なくなります。
このため、配布リストを指定したユーザのロールを Password Manager に設定し、Base Users グループに所属させることで、最小の権限で実行することができます。
以下に手順と設定画面の例を提示します。
1. ユーザ > ユーザ管理 を選択し、配布ユーザを追加。
2. ロールを選択:
3. 認証情報マネージャ グルーを選択
4. 認証情報 > レポート > スケジュールジョブ でジョブを追加してスケジュールジョブの配布先から作成したユーザを選択
なお、本KBは以下の英文 KB を翻訳し補足しました。
Article ID: 242974: How To Email Credential Manager Reports to a Distribution List