この記事は Microsoft Security Advent Calendar 2025 向けのエントリです。
本記事の内容は筆者個人の見解であり、所属組織・企業の公式見解ではありません。また、本記事の原案は AI を用いて作成していますが、ここで整理した概念や考え方については筆者自身が確認しています。
はじめに
最近、Intune EPM と Keeper PEDM を触る機会があり、「どちらをどう使い分けるべきか？」を自分の中で整理したいと思い、このメモを書きました。
ゼロトラストや最小特権が前提となる中で、Microsoft Intune エンドポイント特権管理（以下、Intune EPM）と Keeper エンドポイント特権管理（以下、Keeper PEDM）といった二つの製品について、「何が同じで何が違うのか」を自分なりにまとめた内容になります。
1. 用語と前提整理
1-1. Intune エンドポイント特権管理 とは
- Microsoft Intune Suite のアドオン機能
- 対象 OS: Windows（Intune 管理端末）
- 目的: ローカル管理者権限を剥奪したうえで、必要な操作のみ安全に昇格させるコア機能
-
.exe/.msi/.ps1といった実行ファイルに対する「昇格ルール」 - 自動昇格、ユーザー自己承認、ヘルプデスク承認、拒否の制御
-
Intune EPM の具体的な操作イメージについては、こちらの記事が参考になり、詳細な仕様や制限事項については Microsoft 公式ドキュメントを参照すると全体像を把握しやすくなります。
1-2. Keeper エンドポイント特権管理 とは
-
KeeperPAM（特権アクセス管理）製品群の一機能（公式）
-
対象 OS: Windows / macOS / Linux（Keeper エージェント導入端末）
-
目的: エンドポイント全体での最小特権の徹底とジャストインタイムアクセス（JIT）特権付与
-
コア機能:
- ローカル管理者権限の削除
- プロセス単位の昇格ポリシー（管理者として実行・拒否・ワークフロー承認 等）
- ファイルアクセスによるファイル単位のアクセス制御（実行ファイル・非実行ファイルの両方）
- KeeperPAM（セッション管理、シークレットマネージャーなど）との連携
2. Keeper PEDM の動作イメージ（デモシナリオ）
ここでは、Windows サーバー上で一般ユーザーがメモ帳（Notepad）を起動する、というシンプルなシナリオでイメージできるようにします。
-
ユーザーがサーバーにアクセスする
- KeeperPAM から RDP 経由で Windows サーバーにサインインします（サインインするユーザーは一般権限）
-
ユーザーがアプリ（例: Notepad）を起動しようとする
- 事前に管理者が定義したポリシーに従い、Keeper PEDM のエージェント（EPM アプリ）が立ち上がり、以下のような入力を求めます（実際の運用では MFA と組み合わせることも可能ですが、このデモシナリオではシンプルに「理由入力」のみを必須としています）
-
管理者が Keeper 管理コンソールでリクエストを承認する
- 必要に応じて、リクエストは Keeper 管理コンソール上に「承認待ちリクエスト」として表示されます
- 管理者（または承認者ロールのユーザー）は、内容（ユーザー名、対象アプリ、理由など）を確認し、承認または却下を行います
-
ユーザーが Keeper PEDM からアプリを起動する
- 承認が完了すると、ユーザー側の Keeper PEDM パネルに対象アプリが表示され、そこからアプリを起動できます
3. ざっくり比較（機能とユースケース）
IT マネージャー視点で重要になりやすい観点に絞って、両者を表形式で整理します。
| 観点 | Intune エンドポイント特権管理 | Keeper エンドポイント特権管理 |
|---|---|---|
| 主な対象 OS | Windows | Windows / macOS / Linux |
| 対応ファイル種別 | 主に実行ファイル（.exe / .msi / .ps1） | 実行ファイル + 指定したテキスト・設定ファイル・DB ファイルなど |
| コントロール対象 | 特定のアプリの「管理者として実行」 | アプリの昇格 + 特定ファイルのアクセス |
| 代表的な用途 | 一般社員向け Windows クライアントの昇格制御 | 開発・運用系端末やサーバーの強力な特権 / ファイル制御 |
どちらも「常時管理者」は廃止し、必要なときだけ安全に権限を上げるという思想は共通です。
違いは、
- 対象 OS の広さ
- ファイルアクセスまで含めた制御の有無
- 統合・運用の基盤
といったアーキテクチャ上の設計ポイントに現れます。
4. まとめ
- Intune EPM は、Intune 管理下の Windows クライアント における「特定の実行ファイルの一時的な昇格」には非常に適しており、Microsoft 中心の運用モデルと親和性が高いソリューションです
- Keeper PEDM は、KeeperPAM の一部として Windows / macOS / Linux をまたいで最小特権と JIT 特権を提供し、さらにファイル単位のアクセス制御までカバーします
- 現実的なアーキテクチャとしては、
- 情報系クライアント PC = Intune EPM
- 開発・サーバー系 = Keeper PEDM