アイデンティティ管理（IDM）は、ユーザーの属性、ロール、ライフサイクルの状態を含む、組織全体のデジタルアイデンティティの定義、維持、ガバナンスに焦点を当てています。一方、アクセス管理は、それらのアイデンティティがアプリケーション、データ、システムに、いつ、どのようにアクセスできるかを制御します。
ユーザー、デバイス、アプリケーションが絶えず変化する現代において、組織がIT環境を管理するには、これらの両方が必要です。強固なID管理を導入していても、効果的なアクセス制御を伴わなければ、機密システムを危険にさらす恐れがある一方、正確かつ最新のID情報に基づかないアクセス管理は、過剰な権限、ポリシーの欠落、監査の不適合を招きます。
アイデンティティ管理とアクセス管理は一体となって、ポリシーベースのセキュリティ基盤を形成します。これにより、組織は、ユーザーが誰であるかを特定し、そのIDを検証し、クラウド、ハイブリッド、オンプレミスの環境全体でユーザーのリソースへのアクセスに、一貫したルールを適用できるようになります。
アイデンティティ管理（IDM）とは？
アイデンティティ管理（IDM）とは、組織全体のユーザー、デバイスおよびサービスを対象に、デジタルアイデンティティを作成、維持および削除する取り組みのことです。これは、システム上「その人が誰であるか」という情報と、そのIDが時間の経過とともにどのように変化するかを一元的に記録し、適切なプロビジョニングを支える仕組みを提供します。
IDMの主な機能には、一般的に以下が含まれます。
アイデンティティの作成とプロビジョニング：従業員の入社時のユーザーアカウント生成など。
ロールおよび属性の管理：職務ベースのロールや、部門・所在地などのメタデータの割り当てなど。
ライフサイクル管理：昇進、役割変更、退社などの変化に応じて、アカウントや権限のプロビジョニングを管理。
ディレクトリサービスと統合：多くの場合、Active DirectoryやクラウドIDプロバイダーなどのシステムにIDを紐付け。
シングルサインオン（SSO）：ユーザーは一度認証するだけで、複数のアプリケーションにアクセス可能に。
新入社員の入社時を例にすると、IDMシステムは、自動的にその社員のアイデンティティを作成し、適切なロールを割り当て、主要な業務システム全体でアクセス可能なアカウントをプロビジョニングすることができます。
アクセス管理（AM）とは？
アクセス管理（AM）は、IDデータを基盤とし、ユーザーがアプリケーション、データ、インフラストラクチャをいつ、どのように利用できるかを制御します。IDMがアイデンティティを定義するのに対し、アクセス管理は認証と認可の判断をリアルタイムで行い、、適切なアクセス制御を適用します。
アクセス管理の中核となる機能には、以下が含まれます。
認証ワークフロー：ログイン時の認証情報の検証など。
多要素認証（MFA）：パスワード以外の検証レイヤーを追加。
認可の強制：ユーザーがどのリソースに、どの権限レベルでアクセスできるかを決定。
ポリシーベースのアクセス制御：ID属性、デバイスの状態またはコンテキストに基づいてルールを適用。
クラウドおよびSaaSアプリケーション全体にわたる、きめ細やかなアクセス制御：広範で静的な権限設定ではない。
例えば、アクセス管理システムでは、機密性の高いアプリケーションへのアクセスにMFA（多要素認証）を必須化したり、役割や場所に基づいてアクセスを制限したり、承認された範囲外のシステムへのユーザーアクセスを防止したりすることができます。そしてこれは、たとえシステムが複数のクラウドプラットフォームにまたがっている場合でも同様です。
IDMとAMの主な違い
IDMとAMが、同じセキュリティ課題の異なる段階にどのように対応するのかを理解するために、それぞれの役割分担を見てみましょう。
この役割分担は、リスクと複雑性を軽減するために他のIT機能が分割されているのと同様の仕組みです。データ保護において、バックアップとレプリケーションが異なる役割を担うが、互いに補完し合うのと同様に、ID管理とアクセス管理も連携することで、一貫性のあるポリシー主導型のセキュリティを実現します。
機能 | 主な役割 | 範囲 | いつ機能するか | 代表的な例 |
IDM | デジタルIDとその属性を作成、更新、削除。 | IDデータ、ロールおよびライフサイクル状態。 | アクセスが発生する前（IDがプロビジョニングおよび更新される時）。 | 従業員アカウントのプロビジョニングと、ロールベースの属性の割り当て。 |
AM | IDを認証し、アクセス制御ポリシーを適用。 | ログインワークフロー、MFA、認可およびセッション制御。 | アクセス時にリアルタイムで許可または拒否を判断。 | MFAを適用し、ロールに基づいてアプリケーションへのアクセスを制限。 |
IAM：セキュリティ向上のためのIDMとAMの統合
最新のアイデンティティおよびアクセス管理（IAM）プラットフォームでは、IDMとAMを統合し、統一された管理基盤を提供しています。IDのライフサイクルデータ、プロビジョニング、リアルタイムの認証および認可を密接に統合することで、IAMシステムは、分断されたツールや手動プロセスによって生じるリスクを軽減します。
統合型IAMアプローチには、さまざまなメリットがあります。
より強固なセキュリティ：IDの変更に伴いアクセス権限ポリシーを自動更新することで、継続的に付与されている特権や孤立アカウントを削減します。
より明確なコンプライアンスと監査可能性：ID属性、アクセス判断、認証イベントを一元的に可視化することで実現します。
より高い運用効率：アプリケーションやクラウドサービス全体にわたるプロビジョニングとデプロビジョニングを自動化することで実現します。
IAMは、より広範な企業レジリエンスの強化にも貢献し、この場合は、データと同様に、アイデンティティについても一元的な管理と可視化が重要になります。エンタープライズ向けバックアップソリューションを検討している組織の多くは、ガバナンス、アカウンタビリティ、リスク低減に関する要件に対応できる機能を求めており、これらは、統合型IAMプラットフォームがユーザー、システム、アプリケーション全体で支援する要件と共通しています。
特権アクセス管理（PAM）とは？
特権アクセス管理（PAM）は、権限の高いアカウントや高リスクなアカウントの保護、制御および監査に重点を置いた、アクセス管理の中でも特定の領域に特化したものです。管理者、サービスアカウント、システムオペレーターなどのこうしたアカウントは通常、広範または無制限の特権を有しており、攻撃者の標的となりやすく、また内部リスクにつながる代表的な要因です。
PAMシステムは、ジャストインタイムアクセス、認証情報の保管、セッション分離、承認ワークフローなどの手法を通じて、昇格された権限を制限します。誰が、どのような条件下で権限を昇格できるかを厳密に制御することにより、組織は攻撃対象領域と悪用のリスクを低減できます。
PAMの主な機能は以下の通りです。
最小権限の適用：必要な時のみ権限を昇格させて付与し、その後自動的に取り消します。
認証情報の保護：漏洩リスクを最小限に抑えるため、特権認証情報を保存および変更します。
セッションの監視と記録：リアルタイムのアラートおよび事後監査のために、特権セッションを追跡します。
ポリシーの適用とレポートの作成：リスクの高い操作を制限し、コンプライアンスのための証跡を生成するルールを適用します。
特権アクセス制御は、多くの場合、より広範な自動化およびガバナンスのフレームワークと並行して運用されます。例えば、データのバックアップ自動化に取り組むチームは、手作業の工程を減らし、一貫したポリシーの実行を徹底することも重視します。これは、PAMが特にリスクの高いアクセスシナリオに対して適用する原則です。
顧客IDおよびアクセス管理（CIAM）の役割
CIAM（Customer Identity and Access Management：顧客ID・アクセス管理）は、内部従業員やIT部門が管理するアカウントではなく、外部ユーザー（通常は顧客、パートナー、その他の非従業員ID）を対象に設計されたIAMの一種です。従来のIAMが組織内のガバナンスとセキュリティに重点を置くのに対し、CIAMは安全なアクセスとスムーズな顧客体験を両立させます。
CIAMプラットフォームは、外部ユーザー向けに最適化された以下の機能を提供しています。
ユーザー自身によるアカウント登録とプロファイル管理：IT部門の介入なしにユーザー自身でアカウントを作成・管理可能
プライバシーおよび同意管理：組織がユーザーの意向を尊重し、データ保護規制を遵守できるよう支援
シームレスな認証とソーシャルログイン：セキュアなアクセスを維持しつつ、顧客の負担を軽減
スケーラブルなパフォーマンス：ユーザーエクスペリエンスを損なうことなく、大量の外部トラフィックを処理できるように設計
CIAMは、Eコマース、SaaSやBaaS製品、顧客向けポータル、そしてセキュアなアクセスと・・・を組み合わせる必要があるモバイルアプリケーションなどで、一般的に使用されています
統合型IAMシステムの主な利点
統合型IAMシステムは、IDとアクセス制御を単一のプラットフォームに集約することで、さまざまなメリットをもたらします。
データ保護の強化：ユーザー、システム、アプリケーション全体で一貫したアクセス制御ポリシーを適用することで、不正アクセスや認証情報の悪用リスクを低減します。
プロビジョニングとデプロビジョニングの自動化：オンボーディングとオフボーディングを迅速化し、手作業によるミスや孤立アカウントを削減します。
コンプライアンスとレポート作成の簡素化：ログと監査証跡の一元管理により、規制当局に対するアクセスガバナンスの証明を容易にします。
ユーザーオンボーディングの迅速化とユーザーエクスペリエンスの向上：IAMがID検証、アクセスルール、ワークフローを一貫したプロセスに統合します。
これらのメリットは、より広範なITレジリエンスの取り組みを強化するものでもあります。例えば、データバックアップとリカバリの重要性を認識している組織は、多くの場合、その考え方をIDライフサイクルやアクセス制御にも広げ、データとIDの両方の領域に一貫した保護を徹底しています。
導入に伴う課題
IAMシステムの導入は複雑になることがあり、組織は、導入を遅らせたり効果を低下させたりするさまざまな障害に直面する場合があります。
従来のシステムやサイロ化されたディレクトリ：IDの統合を複雑にし、最新のIAMプラットフォームとの統合を困難にします。
統合の複雑さ：特に、標準化されたプロトコルを用いずに、多種多様なクラウドサービス、オンプレミスアプリケーション、カスタムツールを接続する場合。
ガバナンスと役割の明確さの欠如：アクセスポリシーが適切に定義されず、環境全体で一貫性のない適用が行われます。
スキル不足：セキュリティチームが新しいIAMワークフローに対して十分な専門知識がなかったり、組織内の支持を得られていない状況です。
これらの課題を克服するためには、以下のようなベストプラクティスを実践する必要があります。
導入前に徹底的なアイデンティティ監査を実施する
高リスクシステムとの統合を優先し、明確なガバナンスポリシーを定義する
トレーニングとチェンジマネジメントに投資する
IAMをイミュータブルインフラストラクチャの原則と整合させることは、組織が重要データを保護するためにイミュータブルバックアップを採用するのと同様に、セキュリティとオペレーショナルレジリエンスをサポートする、再現性と信頼性の高い制御を確立するのに役立ちます。
現代のITにアイデンティティ管理とアクセス管理の両方が必要な理由
アイデンティティ管理とアクセス管理は、同じ課題の異なる側面を解決するものです。アイデンティティ管理はデジタルアイデンティティをライフサイクル全体にわたって定義・管理する一方、アクセス管理は、それらのアイデンティティがシステム、アプリケーション、データとどのようにやり取りするかを制御します。両者を同じものとして扱ったり、一方を優先して他方を疎かにしたりすると、セキュリティを低下させ、運用を複雑にするような隙が生じます。
最新のIAMアプローチでは、これらの機能を統合し、アイデンティティのライフサイクルデータとリアルタイムのアクセス判断を連携させます。IDMとAMを統一された一つのシステムに統合することで、組織はリスクを低減し、コンプライアンスを簡素化し、クラウド、ハイブリッド、オンプレミスの各環境全体で、一貫したアクセス制御を実現できるようになります。