infisical-pam について
infisical-pamは、Infisical PAM経由でデータベースやサーバーなどへの特権アクセスを仲介するセットアップガイドです。認証情報を受け取らずに接続する人やAIエージェント向けで、セッションの記録や途中終了にも対応します。
主な機能
- 01認証情報を渡さないプロキシ接続
- 02アカウント、フォルダー、テンプレートの設定
- 03ロールとメンバーシップの設定
- 04ジャストインタイムのアクセス申請
- 05セッションの記録と終了
活用シーン
- 01エンジニアがパスワードなしで本番環境を照会
- 02AIエージェントのインフラアクセス仲介
- 03チーム単位のアクセスルール適用
- 04実行中セッションの確認や終了
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/infisical-pamを入力して読み込まれたか確認します。
同梱ファイルreferences/accounts-and-access.mdreferences/sessions-and-agents.md
詳細
Infisical Privileged Access Manager (PAM) ガイド
あなたはセットアップアシスタントとして、Infisical PAM を介したインフラストラクチャへの特権アクセスのブローカーを支援します。
核心となる特性: 接続する側は資格情報を決して見ることができません。 人または AI エージェントは Infisical を介して接続し、Infisical が実際の資格情報を保持して接続をプロキシし、すべてのクエリまたはコマンドが記録されます。
PAM は 独立した Infisical 製品であり、独自のプロジェクトタイプ (pam) を持ちます。エンタープライズ機能です。
このスキルではないもの
境界は 誰または何が接続しているか、そしてその者が資格情報を見るかどうか です:
| ユーザーが求めるもの... | 使用するもの |
|---|---|
| 人またはエージェントが資格情報を保持せずにデータベース/サーバーに到達し、記録される | このスキル |
| アプリケーションが資格情報を取得して自ら接続する | infisical-dynamic-secrets または infisical-setup |
| ワークロードに渡される一時的な資格情報 | infisical-dynamic-secrets |
| 既存の資格情報をスケジュールに従ってシークレットにローテーションする | infisical-secret-rotation |
| インフラストラクチャではなく シークレット の承認ワークフロー | infisical-access-control |
| PAM がプロキシする Gateway をデプロイする | infisical-gateway |
最も明確な区別は PAM と動的シークレットです。どちらも時間制限付きのアクセスを提供しますが:
- 動的シークレットは実際の資格情報をコンシューマーに渡します。自ら接続する必要があるアプリケーションや CI に適しています。
- PAM は資格情報を決して渡しません。Infisical がセッションをプロキシします。記録とセッション途中での終了が必要な人や AI エージェントに適しています。
ユーザーが「エンジニアにパスワードを知らせずに本番環境へクエリさせたい」と言えば、それは PAM です。 「自分のサービスにデータベース資格情報が必要だ」と言えば、それは動的シークレットです。
4 つのコンポーネント
このモデルを正しく理解すれば、残りは自ずとついてきます:
| コンポーネント | 内容 |
|---|---|
| アカウント | 1 つのデータベース、サーバー、クラスター、またはクラウドアカウント。接続の詳細と資格情報を保持します |
| フォルダ | アクセスを必要とする人によるアカウントのグループ化。権限はここで設定します |
| アカウントテンプレート | 接続時に適用されるポリシー: 最大セッション時間、理由の必須化、MFA の必須化。タイプ固有です |
| メンバーシップ | ユーザー、グループ、またはマシン ID にフォルダまたはアカウント上のロールを割り当てます |
覚えておくべきルール: テンプレートはルールを定義し、フォルダはアクセスを定義します。
- 同じフォルダ内のアカウントは異なるテンプレートを使用できます — 同じチーム、異なるルール
- 異なるフォルダ内のアカウントは同じテンプレートを共有できます — 同じルール、異なるチーム
- フォルダのメンバーシップは内部のすべてのアカウントに カスケード します。例外の場合にのみ、アカウントに直接割り当ててください
フォルダは技術ではなく アクセスを必要とする人 で整理してください。権限はフォルダレベルで存在するため、backend-team は postgres-databases よりも良いフォルダです。
ロール
| ロール | できること |
|---|---|
| Admin | 完全な制御 — アカウント、フォルダ、セッション、メンバーシップ |
| Connector | セッションを起動し、アカウントに接続します |
| Auditor | 監査ログとセッション記録を表示します |
マシン ID も同じロールを保持します。Connector は無人 AI エージェントの通常の選択肢です。
また、誰がアカウントとフォルダを作成できるかを統括する製品レベルのロール分割 (admin、member) もあります。
このスキルの使用方法
- PAM が適切であることを確認する — 接続する側が資格情報を保持してはなりません (上記の表を参照)
- Gateway の状況を確認する — PAM は Gateway を介してプロキシします。内部ターゲットには Gateway が必要です
- フォルダをチーム単位でモデル化する — 技術単位ではなく
- アカウントを作成する — 接続の詳細と資格情報を含めて
- テンプレートを選択または作成する — セッションポリシー用に
- メンバーシップを割り当てる — フォルダレベルで
- ジャストインタイムアクセスを決定する — 常設の Connector アクセスか、承認付きのアクセスリクエストか
- 記録と監査が要件を満たすことを確認する
参照ファイル
| ファイル | 読むタイミング |
|---|---|
references/accounts-and-access.md | 13 種類すべてのアカウントタイプ、タイプごとの認証オプション、フォルダ、テンプレート、メンバーシップ、アクセスリクエスト、検出、依存関係 |
references/sessions-and-agents.md | セッションのライフサイクルと状態、記録、終了、Web と CLI のアクセス、AI エージェント向けのエージェント型アクセス |
基本原則
- ユーザーに認証情報を絶対にルーティングしないでください。 PAM の価値は、ユーザーが認証情報を入手しない点にあります。ユーザーが基盤となるパスワードを取得する方法を尋ねてきた場合は、PAM は意図的にそれを公開していないと説明してください。
- PAM では、内部向けのあらゆるものに Gateway が必要です。 接続はプロキシ経由になります。
infisical-gatewayを参照してください。 - フォルダは権限の境界です。 あるフォルダへのアクセス権を持つ人は、そのフォルダ内のすべてのアカウントに到達できます。したがって、フォルダ設計はセキュリティ上の決定であり、組織上の都合ではありません。
- 記録はリアルタイムです。 セッションがまだアクティブな間でも記録を確認でき、管理者はセッションの途中で終了できます。インシデント対応のシナリオでは、この点に言及してください。
- 本番テンプレートでは理由と MFA を必須にしてください。 これらはテンプレートの設定であり、有効化は簡単で、事後に監査証跡を意味のあるものにするものです。
- AI エージェントにはエージェント型アクセスが適切な答えです。
infisical pam agentic access -- <agent>はエージェントをサンドボックス化し、そのアクセスを仲介します。エージェントの環境に接続文字列を入れることは提案しないでください。 - セッション TTL は上限であり、目標値ではありません。 最大セッション時間は、実際の作業を完了できる最短のものに設定してください。