PIM/PAMSC: PIMを再起動後の監査ログの LOGOUT ログについて

Products

• CA Privileged Identity Management Endpoint (PIM)
• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Identity Manager ( 以下、PIM) では再起動前にログインし、再起動後にログアウトしたユーザの LOGOUT ログは取得できるか？

Environment

Privileged Identity Manager: 全てのバージョン

Privileged Access Manager Server Control (Endpoint): 全てのバージョン

Resolution

LOGOUT のログは一般ユーザでは多くの場合記録されますが、root ユーザは記録されません。

これは以下の動作に基づきます。 PIM が開始するときに、実行中のプロセス、実行ユーザ、ログインユーザなどを検知します。
そのため、再起動前からログインしていたユーザはこの時に検出され、検知されたユーザがログアウトした際に LOGOUT が記録されます。

ただし、PIM は異なるセッションごとのユーザを識別できないため、 root ユーザのすべてのプロセスは PIM の再起動によりすべて一つのアクセサ エレメント (ACEE) に紐づけられます。
また、PIM はこの ACEE に紐づけられたすべてのプロセスが終了した際に LOGOUT と認識しますが、 root の場合は一つのログインセッションが完了しても PIM の観点から多数のプロセスの紐づけが残っているため、LOGOUT を認識できません。
このため、root ユーザの LOGOUT は記録されません。

本動作は Privileged Access Manager Server Control ( 以下、PAMSC) のエンドポイントでも同様となります。

Additional Information

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 45024: logout audit log after restarting CA Privileged Identity Manager