アイデンティティとアクセス管理 コンサルティングサービス

アイデンティティとアクセス管理（IAM）は、システムへのサインインを許可される対象者や、個人およびアプリケーションごとに許容される操作範囲を制御します。これにより、組織全体でセキュリティポリシーを日常的な実践へと転換します。

コアコンセプト

• 認証は、ユーザーが主張している通りであることを確認するプロセスです。一般的な方法にはパスワード、多要素認証、パスキーなどが含まれます。
• 認可は、サインインしたユーザーが実行できる操作を決定します。ロールベースのアクセス制御（RBAC）は、職務機能ごとに権限をグループ化します。
• シングルサインオン（SSO）は、1回のログインで複数のアプリケーションにアクセスできるようにします。
• ライフサイクル管理は、人員の入職、異動、退職に伴い、アクセス権限の追加、変更、削除を行います。

活用シーン

• 新入社員は、手動のリクエストを待たず、初日から正しいアカウントを受け取れます。
• 退職者のアクセス権限を迅速に削除でき、一般的なセキュリティ上の脆弱性を閉塞します。
• アクセスレビューにより、監査人が誰が機密システムにアクセスできるか、その理由を明確に把握できます。
• アプリケーションが使用するサービスアカウントやAPIキーには、管理者や有効期限ルールを設定できます。

考慮すべきトレードオフ

• セキュリティと利便性：追加のログイン手順はユーザーに負担をもたらします。リスクの高いサインインに対してのみ適応的に適用するルールを活用できます。
• 中央集権型と分離型ディレクトリ：単一のアイデンティティプロバイダは管理を簡素化しますが、常に可用性を維持する必要のある重要システムでもあります。
• クラウドとセルフホスト：クラウドアイデンティティサービスはメンテナンスを軽減します。一方、セルフホスト環境では、データの所在地やカスタマイズ性の制御が容易になります。
• 詳細なロールと簡素なロール：詳細なロール設定はリスクの曝露を制限しますが、維持に多くの労力を要します。

組織が考慮すべき事項

• 最小権限原則は、タスクに必要なアクセス権限のみを付与することです。定期的なレビューと組み合わせることで、より効果が発揮されます。
• 管理者アカウントは、標準アカウントよりも強力な保護と厳密な監視が必要です。
• 古いアプリケーションはSAMLやOpenID Connectなどの標準規格に対応していない場合があります。統合作業の計画と予算計上が必要です。

NobleConsulの支援内容

• コンサルティング活動としては、現在のアクセス権限運用の評価、IAMプラットフォームの比較、ロールモデルの設計などが挙げられます。
• NobleConsulは、既存のシステムやビジネスプロセスに適応した段階的な導入も支援できます。