Keeper における NHIとは
hanae 更新
企業がクラウドインフラを拡大し、AI 主導の自動化を進めるにつれて、サービスアカウント・マシン認証情報・API キー・インフラリソースといった「人間ではない ID」が急速に増加しています。Keeper では、これらを NHI（Non Human Identity／非人間アイデンティティ） と呼びます。本記事では、Keeper における NHI の定義、種類、数え方を解説します。NHIとはNHI とは、KeeperPAM、および Keeper Secrets Manager（KSM）がお客様に代わって管理・保護する、サービスアカウント・クライアントデバイス・インフラリソース・マシン・ワークロード ID の総称です。NHI は以下 3つのカテゴリに分類されます。①PAMリソース特権アクセス管理の対象となるサーバー、データベース、クラウドリソース、管理対象インフラを指します。リモートブラウザ分離（RBI）セッションも含まれます。主な対象例：サーバー／仮想マシン、データベース、クラウドリソース、管理対象インフラ、RBI セッション② PAM ユーザーKeeper ゲートウェイが、管理対象システムへの認証・認証情報の自動ローテーション・特権アクセスの仲介に利用するアカウントを指します。主な対象例：データベースアカウント、サービスアカウント、ディレクトリアカウント、IAM アカウント③ KSM クライアントデバイスKeeper Secrets Manager に認証してシークレットを取得する、マシン・サービス・実行インスタンスを指します。各デバイスには登録時にアクセス用の固有トークン（暗号鍵）が割り当てられ、ライセンス上の「KSM デバイス数」は登録済みトークンの数を意味します。主な対象例：CI/CD パイプライン、AI エージェント、Terraform スクリプト、GitLab／GitHub／Ansible／Jenkins／Docker／Jira／ServiceNow などアクティブなNHIとはKeeper で管理・課金の基準となるのは「アクティブな NHI」です。アクティブな NHI とは、契約期間中にシステムアクセスやシークレット取得などの 特権操作を実際に実行した ID を指します。各 ID は、操作回数に関わらず契約期間ごとに1回のみ カウントされます。特権操作を行っていない ID は、Keeper に設定済みであってもカウント対象外です。一度でも特権操作を実行した ID は、その後に利用停止した場合でも、当該期間はアクティブな NHI として扱われます。人間の管理者・エンドユーザーは NHI の対象外です（通常の KeeperPAM ユーザーライセンスの対象となります）。NHIの数え方アクティブな NHI の合計数は、次の式で計算します。PAM リソース ＋ PAM ユーザー ＋ KSM クライアントデバイス ＝ アクティブな NHI の合計数実務上は、次の3つのポイントを洗い出すと計算しやすくなります。それぞれ上記のカテゴリに対応しています。① 認証情報を管理するサーバ・デバイス数（＝ PAM リソース）特権管理者・ユーザーがアクセスする対象システムの数です。サーバー・VM・コンテナ・クラウドワークロード・データベース・ネットワーク機器などが該当します。※ Keeper Gateway もカウント対象に含まれます。② パスワードローテーションを実行する特権 ID 数（＝ PAM ユーザー）1つのシステムに対し、特権 ID は「役割」や「用途」ごとに分かれているため、複数存在する場合があります。特権 ID の例：OS 管理者、運用担当者、アプリケーション・ミドルウェア担当者、サービスアカウント（バックアップソフト・監視ソフトなどのプロセスが利用）など共有アカウントを利用する場合は、サーバ・デバイス数と同じ数になります。※ パスワードローテーション機能を利用しないサーバーの特権 ID は対象外です。③ KSM デバイス数（＝ KSM クライアントデバイス）各種ツールから Keeper Vault にアクセスする際のトークンの数です。1つのツール（1トークン／設定）につき1NHI としてカウントされます。ご契約製品ごとのカウント対象NHIの3カテゴリのうち、実際にどれがカウント対象となるかは、ご契約の製品によって異なります。KSM クライアントデバイス（③）は、Secrets Manager（KSM）をご契約の場合に対象となるカテゴリです。KeeperPAM における NHIKeeperPAM は上記を統合した製品のため、①②③のすべてがカウント対象です。すなわち「接続先リソース（①）＋ ローテーション対象アカウント（②）＋ KSM デバイス（③）」の合計が NHI 数となります。Keeper Secrets Manager（KSM）における NHINHI のカウントは、アクティブな KSM デバイス（③）の数に連動します。たとえば CI/CD パイプラインに単一の KSM デバイス（1つのトークン／設定）が使用されている場合、それは1NHI としてカウントされます。 よくある質問Q1. 使用していないリソースもカウントされますか？ A1. いいえ。契約期間中に特権操作を実行した NHI のみが対象です。サーバーやサービスアカウント、クライアントデバイスが設定済みであっても、契約期間中にアクセスやシークレット取得を行っていなければカウントされません。Q2. エージェントは NHI としてカウントされますか？ A2. はい。自動化ボット、DevOps エージェント、監視エージェント、AI エージェント、CI/CD ランナー等も、Keeper への認証やゲートウェイ経由でのシークレット取得を行う場合は NHI としてカウントされます。Q3. 複数のリソースで同じ認証情報を使っている場合は、1つとしてカウントされますか？A3. 各 ID はそれぞれ1つの NHI としてカウントされます。PAM ユーザー（サービスアカウントの認証情報など）は、アクセス先の PAM リソース数に関わらず1NHI としてカウントされます。一方、アクセス対象となる PAM リソース自体は、それぞれ個別の NHI としてカウントされます。Q4. 人間の管理者も NHI としてカウントされますか？ いいえ。NHI は非人間アイデンティティのみを対象としています。人間の管理者・エンドユーザーは通常の KeeperPAM ユーザーライセンスの対象です。なお、ここでいう「PAM ユーザー」は人間のユーザーではなく、データベースアカウント・サービスアカウント・ディレクトリアカウント・IAM アカウントを指します。