アイデンティティ管理（IAM）

アイデンティティ・アクセス管理（IAM）とは？

IAM（Identity and Access Management）とは、適切な人が適切なタイミングで適切なリソースに 適切なアクセス権を持つことを保証する、ポリシー・プロセス・技術のフレームワークです。 セキュリティ、コンプライアンス、業務効率の基盤となります。

IAM の基本コンポーネント

1. 認証

ユーザー、システム、またはエンティティのアイデンティティを検証するプロセス。

  • 認証要素：
    • 知っているもの（パスワード、PIN）
    • 持っているもの（トークン、スマートフォン）
    • 本人そのもの（生体認証）
  • 最新の手法：
    • パスワードレス認証（FIDO2、WebAuthn）
    • リスクベース認証
    • 継続的認証

2. 認可

認証されたユーザーがアクセスできるリソースと操作を決定すること。

  • RBAC（Role-Based Access Control）：ロールに基づく権限
  • ABAC（Attribute-Based Access Control）：属性に基づく判断
  • PBAC（Policy-Based Access Control）：動的なポリシー
  • ReBAC（Relationship-Based Access Control）：関係性に基づく

3. プロビジョニングとデプロビジョニング

  • アカウントの自動作成
  • ロールに基づく権限の割り当て
  • ユーザーのオンボーディングとオフボーディング
  • システム間の同期（HR → IAM → Apps）

多要素認証（MFA）

MFA は、アクセスを許可する前に複数の形式の検証を要求することで、 追加のセキュリティ層を加えます。

MFA の種類

  • SMS/音声：テキストまたは通話で送信されるコード（安全性は低い）
  • 認証アプリ：TOTP（Google Authenticator、Authy）
  • プッシュ通知：スマートフォンによる承認
  • ハードウェアトークン：YubiKey、RSA SecurID
  • 生体認証：指紋、顔認証
  • FIDO2/WebAuthn：最新のパスワードレス標準

MFA の実装

  • 特権アカウントには MFA を必須化
  • リスクベースの条件付き MFA
  • 復旧用のバックアップ手段
  • その重要性に関するユーザー教育

シングルサインオン（SSO）

SSO により、ユーザーは単一の認証情報で複数のアプリケーションにアクセスでき、 利便性とセキュリティが向上します。

SSO プロトコル

  • SAML 2.0：エンタープライズ標準、XML ベース
  • OAuth 2.0：認可、OpenID Connect とともに使用
  • OpenID Connect (OIDC)：OAuth 2.0 上のアイデンティティ層
  • Kerberos：ネットワーク認証プロトコル

SSO のメリット

  • パスワード疲れの軽減
  • パスワードリセットに関するヘルプデスクの削減
  • より良いユーザー体験
  • 認証と監査の一元化

特権アクセス管理（PAM）

PAM は、セキュリティ上重要な、昇格された権限を持つアカウントを保護・監視します。

PAM の機能

  • Password Vaulting：特権認証情報の安全な保管
  • Session Management：特権セッションの記録と監視
  • Just-in-Time Access：一時的な権限の昇格
  • Password Rotation：パスワードの自動変更
  • Secrets Management：API keys、tokens、証明書の管理

ゼロトラストアーキテクチャ

ゼロトラストは暗黙の信頼を排除し、その発信元にかかわらずすべてのアクセスを 継続的に検証します。

ゼロトラストの原則

  • 明示的に検証する（常に認証と認可を行う）
  • 最小権限のアクセスを使用する
  • 侵害を前提とする（影響範囲を限定する）
  • マイクロセグメンテーション
  • 継続的な監視とログ記録

ゼロトラストの実装

  • Identity-centric security perimeter
  • 継続的かつ適応的な認証
  • Device trust and posture assessment
  • Network segmentation and microsegmentation
  • Encrypted traffic inspection

アイデンティティガバナンス（IGA）

IGA は、適切な人が適切なリソースに適切なアクセス権を持つことを、 完全な監査とともに保証します。

IGA の機能

  • Access Certification：定期的なアクセスレビュー
  • Access Request Workflow：承認を伴うリクエスト
  • Segregation of Duties (SoD)：利益相反の防止
  • Analytics and Reporting：アクセスの可視化
  • Policy Enforcement：アクセスポリシーの自動化

ディレクトリとアイデンティティプロバイダー

企業向けディレクトリ

  • Active Directory (AD)：Microsoft、オンプレミス
  • Azure AD (Entra ID)：Microsoft、クラウド
  • Okta：サービスとしてのアイデンティティプロバイダー
  • Auth0：開発者向けアイデンティティプラットフォーム
  • Ping Identity：エンタープライズ IAM

オープンソース

  • Keycloak：オープンソースの IAM、Red Hat
  • FreeIPA：Linux/Unix 向けのアイデンティティ管理
  • OpenLDAP：軽量なディレクトリ

ベストプラクティス

パスワード管理

  • 適切な複雑性ポリシー（12 文字以上）
  • 定期的なローテーションは特権アカウントのみ
  • パスワードの再利用を禁止
  • 漏洩したパスワードの検出（Have I Been Pwned）
  • パスワードマネージャーの利用を推奨

最小権限の原則

  • 必要不可欠な権限のみを付与する
  • アクセス権を定期的に見直す
  • 未使用のアクセス権を削除する
  • 個別の権限ではなくグループ/ロールを使用する

監査とコンプライアンス

  • すべてのアイデンティティ活動のログ記録
  • 四半期ごとのアクセスレビュー
  • 特権アクセスのレポート
  • 異常な活動に対するアラート

よくある課題

  • Shadow IT：IAM で管理されていないアプリケーション
  • Orphaned Accounts：退職者のアクティブなアカウント
  • Over-Privileged Users：必要以上のアクセス権を持つユーザー
  • Credential Stuffing：漏洩した認証情報の使用
  • Phishing：ソーシャルエンジニアリングによる認証情報の窃取

今後のトレンド

  • Passwordless Authentication：パスワードの廃止
  • Decentralized Identity：自己主権型アイデンティティ（SSI）
  • AI-Powered IAM：ML による異常検知
  • Blockchain Identity：分散型アイデンティティ
  • Biometrics Evolution：行動的生体認証

効果的なアイデンティティ・アクセス管理は、現代のセキュリティにとって不可欠です。堅牢な 戦略は、強力な認証（MFA）、きめ細かな認可（RBAC/ABAC）、継続的な ガバナンス（IGA）、そしてゼロトラストアーキテクチャを組み合わせます。リモートワークとクラウドへの 進化に伴い、IAM は新たなセキュリティ境界となり、慎重な実装と 継続的な保守が求められています。