前回記事：
【CyberArk】新人メンバーが紹介してみた ～導入プロセスと資格編～ - So-da
前々回記事：
【CyberArk】新人メンバーが紹介してみた ～CyberArk PAMの基本編～ - So-da  

名前	ゆに
社会人歴	2年目
CyberArk歴	約1年
CyberArk関連の保有資格	Defender-PAM Sentry-PAM CDE-PAM CDE-CPC

 

 

1. トレーニングの受講

最初に、CyberArkが用意している以下のトレーニングを受講しました。

・CyberArk PAM 管理者コース：
CyberArk PAMの基本を学び、システム管理者として、各種設定や動作確認を行うためのコースです。
ラボでは、webポータルからの接続、録画確認、パスワード変更期間の設定、承認フローなどの機能を自分で設定し、動きを確認しました。

・CyberArk PAM 導入と構成コース：
各コンポーネントのインストールや初期設定方法を学び、オンプレの環境にPAM導入を行うためのコースです。特権アカウント情報を確実に保護するために、サーバーを堅牢化する方法も学びます。
ラボでは、実際にインストールと初期設定を行い、導入の全体像を理解しました。
 

2. 検証環境の構築

AWSで仮想サーバを立て、PAMが利用できる検証環境を作成しました。
インターネットからアクセスできないプライベートなネットワークの構築や、Active Directoryと連携したポータルログインなど、実際のお客様環境を想定しながら構築を行いました。
特権アカウントへの接続、自動パスワード変更といった基本機能を実装したほか、PTA（Privileged Threat Analytics）という脅威検知用のコンポーネントも使用しました。

PTAを使用することで、以下のような特権アクセス脅威を検知し、webポータルから確認できるようになります。

・CyberArkを経由しないログイン

・事前定義された不審なコマンドの実行（Linux）

・事前定義された不審なウインドウの展開（Windows）

【実際のwebポータル画面】

 
 

3. Defender、Sentry受験

CyberArkの認定資格であるDefenderとSentryを取得しました。
トレーニングや検証環境の構築で行った内容を復習し、不明な点はドキュメントやラボで確認しながら学習を進めました。

 

4. CDE-PAM受験

前提条件であるDefenderとSentryを取得し、必要なトレーニングを全て完了させた後、実技試験となるCDE-PAMを受験しました。
1週間という試験期間の中で、コンポーネントのインストールや要件に合わせた設定、認証方法など幅広い分野の問題に挑戦しました。

受験に向け、以下のようなトレーニングを受講しました。

・CyberArk Vendor PAM (Remote Access) 管理者コース：
社外ベンダーから、VPN等を使用せずCyberArkのリソースにアクセスできる、Remote Accessについて学ぶコースです。

・PAM Troubleshooting - Hands-on Labコース：
PAMを利用する際に想定されるエラーに対して、ラボを使用してトラブルシューティングを行うコースです。
エラー時に見るべきログや設定値について学んだことで、導入後の保守にも対応できる、実践的なスキルを身につけることができました。
 

5. CDE-CPC受験

CDE-PAMの合格により、受験資格を得ることができたため、CPC（PAMのクラウド版、以下P-Cloud）の実技試験を受験しました。
P-Cloudでは、PAMコンポーネントの一部をCyberArk側のクラウドが受け持つため、PAMの知識を前提にしつつ、クラウド特有の設定についても学びました。

受験に向け、以下のようなトレーニングを受講しました。

・Introduction to CyberArk Identity as a Shared Service (ISPSS)：
ユーザー情報を管理し、様々なリソースに対する多要素認証、シングルオンを提供するIdentityについて学ぶコースです。クラウド版を利用する際に、併用されることの多いサービスです。

・Privilege Cloud Basic 管理者コース：
P-Cloudの基本について学ぶコースです。機能自体はPAMとほぼ同一ですが、アーキテクチャが異なるため、違いを理解しながら学習を進めました。

・Privilege Cloud 導入と構成コース：
P-Cloud環境を作成するための、インストールや初期設定の方法について学ぶコースです。こちらはPAMと大きな差があるため、ラボで実際に手を動かしながら、クラウド特有の手順について確認しました。
 

 

・全体構成の理解：
コンポーネントが複数存在するため、それぞれの関係性や役割を理解しながら構築を進める必要がありました。
接続先アカウントのドメイン参加の有無などが関わる設定もあり、接続先アカウントの環境も含めた全体の構成を理解することが大変でした。
 

・エラーに対するトラブルシューティング：
検証環境を構築する際に、様々なエラーが発生しました。
CyberArk内部の問題と、OS側の機能の問題があり、最初はエラー原因を上手く判別できなかったため、解決に至るまでにかなりの時間がかかってしまいました。

学習を進めるなかで、特に【特権アカウントを一元的に管理できる】ところがCyberArkの大きな利点であると感じました。
私たちの情報資産は、情報漏えい、ランサムウェア攻撃など、日々多くの脅威にさらされており、これらすべてを組織内部で防ぐことは非常に困難です。
CyberArk PAMを利用することで、特権アカウント情報をCyberArkのシステムを通して一元管理し、情報資産の保護と管理の効率化を図ることができます。
また、各ユーザーのアクセス権や、ワンタイムパスワード設定、承認フローなど、組織の要件に合わせて機能をカスタマイズすることもできます。
セキュリティ被害が出る前に、組織にとって最適な特権アクセス管理の方法を確立しておくことが重要であり、それを実現するために、CyberArk PAMは非常に有用だと感じました。

 
 

今回は、資格を取得するまでの流れをご紹介しました。

CyberArk製品の詳しい機能については、こちらの連載記事にてご紹介しています。CyberArk製品についてもっと詳しく知りたい方、実際の操作画面を見てみたい方は、ぜひご覧ください。

【CyberArk PAM】第1回 特権ID管理システム「CyberArk PAM」の紹介
システムサポートでは、CyberArk製品のコンサルティングから導入、運用まで幅広い支援が可能です。
ご興味がありましたら、ぜひお気軽にお問合せください。

お問い合わせはコチラ