導入・選定

アクセス管理とは。誰に何を許可するかを、どう決めて保つか

誰に何を許可するか。決めた当初は整理されていても、運用しているうちに権限は増え続けます。この記事では、アクセス管理の考え方と、崩れないように保つ方法を整理します。

認証と認可は別のもの

よく混同されますが、別の仕組みです。

• 認証／誰であるかを確かめる。ログインの部分
• 認可／その人に何を許すかを決める。ログインした後の部分

多要素認証を入れて安心してしまう例がありますが、それは認証の強化であって、認可の話は別に残っています。本人だと確認できても、その人が触れる範囲が広すぎれば、事故の影響は同じです。

役割で配る

権限を個人ごとに設定すると、人数が増えたときに管理できなくなります。一般的なのは役割（ロール）を定義し、人を役割に割り当てる方式です。

設計するときの順序があります。

1. どんな業務があるかを洗い出す
2. その業務に必要な最小限の操作を決める
3. 操作の組み合わせを役割としてまとめる
4. 人を役割に割り当てる

1番目を飛ばして「部署ごとに役割を作る」と失敗します。同じ部署でも業務は違い、組織変更のたびに作り直すことになります。

権限は増え続ける

アクセス管理が崩れる最大の原因は、追加はされるが削除されないことです。

典型的な流れがあります。異動してきた人に新しい権限を足す。前の権限は「まだ使うかもしれない」と残す。これを繰り返すうち、数年在籍した人が、あらゆるものに触れる状態になります。

対処は2つです。

• 異動時に一度リセットする／足すのではなく、いったん外して付け直す
• 期限付きで付与する／一時的な権限には期限を設定し、自動で切れるようにする

棚卸しをどう回すか

定期的な見直しは必要ですが、全権限を一度に確認しようとすると続きません。

現実的なのは、対象を絞って頻度を上げる方法です。

• 高権限のみ四半期ごと／管理者権限、本番環境への書き込みなど
• 全体は年1回／網羅性はここで担保する
• 退職・異動は都度／イベント駆動で処理する

確認を依頼する相手も重要です。情報システム部門に聞いても業務上必要かどうかは判断できません。各部門の責任者に確認してもらう仕組みが要ります。

クラウドで見落とされる点

クラウド環境では、人以外にも権限が配られます。

• サービス間の権限／あるサービスが別のサービスを呼ぶための権限
• APIキー・トークン／発行したまま残り、誰が使っているか分からなくなる
• 外部連携／SaaS同士をつないだときに付与された権限

人の棚卸しはしていても、この3つが対象外になっている組織が少なくありません。実際の侵害では、放置された鍵が使われる例が多くあります。

何から始めるか

整備されていない状態から始めるなら、順序があります。

1. 管理者権限を持つ人が誰かを一覧にする
2. その中から、業務上不要な人を外す
3. 本番環境への書き込み権限について同じことをする
4. そのうえで、役割の設計に着手する

いきなり全体の設計から入らないでください。影響の大きい権限から順に絞るほうが、短期間で効果が出ます。