メインコンテンツへスキップ

Keeper における NHIとは

小林 英恵
  • 更新

企業がクラウドインフラを拡大し、AI 主導の自動化を進めるにつれて、サービスアカウント・マシン認証情報・API キー・インフラリソースといった「人間ではない ID」が急速に増加しています。Keeper では、これらを NHI（Non Human Identity／非人間アイデンティティ） と呼びます。本記事では、Keeper における NHI の定義、種類、数え方を解説します。

NHIとは

NHI とは、KeeperPAM、および Keeper Secrets Manager（KSM）がお客様に代わって管理・保護する、サービスアカウント・クライアントデバイス・インフラリソース・マシン・ワークロード ID の総称です。NHI は以下 3つのカテゴリに分類されます。

①PAMリソース

特権アクセス管理の対象となるサーバー、データベース、クラウドリソース、管理対象インフラを指します。リモートブラウザ分離（RBI）セッションも含まれます。

主な対象例：サーバー／仮想マシン、データベース、クラウドリソース、管理対象インフラ、RBI セッション

② PAM ユーザー

Keeper ゲートウェイが、管理対象システムへの認証・認証情報の自動ローテーション・特権アクセスの仲介に利用するアカウントを指します。

主な対象例：データベースアカウント、サービスアカウント、ディレクトリアカウント、IAM アカウント

③ KSM クライアントデバイス

Keeper Secrets Manager に認証してシークレットを取得する、マシン・サービス・実行インスタンスを指します。各デバイスには登録時にアクセス用の固有トークン（暗号鍵）が割り当てられ、ライセンス上の「KSM デバイス数」は登録済みトークンの数を意味します。

主な対象例：CI/CD パイプライン、AI エージェント、Terraform スクリプト、GitLab／GitHub／Ansible／Jenkins／Docker／Jira／ServiceNow など

アクティブなNHIとは

Keeper で管理・課金の基準となるのは「アクティブな NHI」です。アクティブな NHI とは、契約期間中にシステムアクセスやシークレット取得などの 特権操作を実際に実行した ID を指します。

  • 各 ID は、操作回数に関わらず契約期間ごとに1回のみ カウントされます。
  • 特権操作を行っていない ID は、Keeper に設定済みであってもカウント対象外です。
  • 一度でも特権操作を実行した ID は、その後に利用停止した場合でも、当該期間はアクティブな NHI として扱われます。
  • 人間の管理者・エンドユーザーは NHI の対象外です（通常の KeeperPAM ユーザーライセンスの対象となります）。

NHIの数え方

アクティブな NHI の合計数は、次の式で計算します。

PAM リソース ＋ PAM ユーザー ＋ KSM クライアントデバイス ＝ アクティブな NHI の合計数

実務上は、次の3つのポイントを洗い出すと計算しやすくなります。それぞれ上記のカテゴリに対応しています。

① 認証情報を管理するサーバ・デバイス数（＝ PAM リソース）

特権管理者・ユーザーがアクセスする対象システムの数です。サーバー・VM・コンテナ・クラウドワークロード・データベース・ネットワーク機器などが該当します。

※ Keeper Gateway もカウント対象に含まれます。

② パスワードローテーションを実行する特権 ID 数（＝ PAM ユーザー）

1つのシステムに対し、特権 ID は「役割」や「用途」ごとに分かれているため、複数存在する場合があります。特権 ID の例：OS 管理者、運用担当者、アプリケーション・ミドルウェア担当者、サービスアカウント（バックアップソフト・監視ソフトなどのプロセスが利用）など共有アカウントを利用する場合は、サーバ・デバイス数と同じ数になります。

※ パスワードローテーション機能を利用しないサーバーの特権 ID は対象外です。

③ KSM デバイス数（＝ KSM クライアントデバイス）

各種ツールから Keeper Vault にアクセスする際のトークンの数です。1つのツール（1トークン／設定）につき1NHI としてカウントされます。

ご契約製品ごとのカウント対象

NHIの3カテゴリのうち、実際にどれがカウント対象となるかは、ご契約の製品によって異なります。KSM クライアントデバイス（③）は、Secrets Manager（KSM）をご契約の場合に対象となるカテゴリです。

KeeperPAM における NHI

KeeperPAM は上記を統合した製品のため、①②③のすべてがカウント対象です。すなわち「接続先リソース（①）＋ ローテーション対象アカウント（②）＋ KSM デバイス（③）」の合計が NHI 数となります。

Keeper Secrets Manager（KSM）における NHI

NHI のカウントは、アクティブな KSM デバイス（③）の数に連動します。たとえば CI/CD パイプラインに単一の KSM デバイス（1つのトークン／設定）が使用されている場合、それは1NHI としてカウントされます。

 

よくある質問

Q1. 使用していないリソースもカウントされますか？

 A1. いいえ。契約期間中に特権操作を実行した NHI のみが対象です。サーバーやサービスアカウント、クライアントデバイスが設定済みであっても、契約期間中にアクセスやシークレット取得を行っていなければカウントされません。

Q2. エージェントは NHI としてカウントされますか？ 

A2. はい。自動化ボット、DevOps エージェント、監視エージェント、AI エージェント、CI/CD ランナー等も、Keeper への認証やゲートウェイ経由でのシークレット取得を行う場合は NHI としてカウントされます。

Q3. 複数のリソースで同じ認証情報を使っている場合は、1つとしてカウントされますか？

A3. 各 ID はそれぞれ1つの NHI としてカウントされます。PAM ユーザー（サービスアカウントの認証情報など）は、アクセス先の PAM リソース数に関わらず1NHI としてカウントされます。一方、アクセス対象となる PAM リソース自体は、それぞれ個別の NHI としてカウントされます。

Q4. 人間の管理者も NHI としてカウントされますか？ 

いいえ。NHI は非人間アイデンティティのみを対象としています。人間の管理者・エンドユーザーは通常の KeeperPAM ユーザーライセンスの対象です。なお、ここでいう「PAM ユーザー」は人間のユーザーではなく、データベースアカウント・サービスアカウント・ディレクトリアカウント・IAM アカウントを指します。

関連