PAM: 認証情報マネージャのレポートを配布リストに送信する方法について

Products

• CA Privileged Access Manager (PAM)

Issue/Introduction

Privileged Access Manager ( 以下、PAM) で認証情報マネージャのレポートを定期的に個別のユーザではなく、配布リストに送りたい。

そこで、配布リストをメールアドレスに持つローカルユーザを作成したが、Standard User ロールだと宛先に指定できない。
Global Administrator ロールを付与することで宛先への指定はできるようになるが、与えられる権限が多すぎる。
最小の権限で指定するにはどうしたらよいか？

Environment

Privileged Access Manager: All 

Cause

マニュアルの記載によると、「受信者は、有効な電子メール アドレスを持つすべての認証情報マネージャ ユーザから選択されます。」となっています。
これはすなわち、認証情報マネージャ グループに所属するすべてのユーザが表示されていることを示しています。
認証情報マネージャ グループに所属するためには、以下のいずれかのロールを持つ必要があります。

• Global Administrator
• Operational Administrator
• Password Manager

Resolution

上記3つの ロールの中では、Password Manager が一番権限が少なくなります。
また、認証情報マネージャ グループの中では、Base Users が最も少なくなります。

このため、配布リストを指定したユーザのロールを Password Manager に設定し、Base Users グループに所属させることで、最小の権限で実行することができます。
以下に手順と設定画面の例を提示します。

1. ユーザ > ユーザ管理 を選択し、配布ユーザを追加。

2. ロールを選択：

3. 認証情報マネージャ グルーを選択

4. 認証情報 > レポート > スケジュールジョブ でジョブを追加してスケジュールジョブの配布先から作成したユーザを選択

Additional Information

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 242974: How To Email Credential Manager Reports to a Distribution List