勉強なら今だ！アイデンティティ管理ツール（2）/キーマンズネット


	IT製品 TOP > 運用管理 > その他運用管理ソフト > 勉強なら今だ！アイデンティティ管理ツール

	これさえ読めば基本はカンペキ！「アイデンティティ管理ツール」	掲載日：2006/11/20

【1】	なぜ今、アイデンティティ管理が必要なのか

【2】	アイデンティティ管理ツールのあらまし

【1】	アイデンティティ管理ツール導入のポイント

【2】	アイデンティティ管理ツール・ソリューション・アプライアンス製品カタログ

【1】	アイデンティティ管理市場動向

これさえ読めば基本はカンペキ！

　多数のシステムを多くのユーザーが利用する企業ではユーザー管理やアクセス管理は複雑さを極める。人事異動があるたびにユーザー情報やアクセス権限設定の登録・変更・抹消をシステムごとに行う必要があるからだ。更に今後は「内部統制」の名のもとに証跡の確保をともなう厳しいID管理も求められるようになる。アイデンティティ管理はこうした運用管理負荷を低減し、かつ内部統制やセキュリティ/情報漏洩対策に寄与する仕組みとして、今ますます重要性を増している。今回はアイデンティティ管理の概要とツールの仕組みに焦点を当てて紹介しよう。

【2】

アイデンティティ管理ツールのあらまし

　アイデンティティ管理のメリットを見てもわかるとおり、手作業をできるだけ排して自動化することにより、管理を徹底させ、ポリシーを強制的に適用できるところがポイントだ。それにはツールが必要で、現在各社から多くの製品やソリューションが販売されている。そのあらましを紹介していこう。

2-1

アイデンティティ管理ツールの機能

　まずはアイデンティティ管理ツールの主な機能を紹介しよう。主要なアイデンティティ管理ツールでは、ID/パスワードの一元管理機能を前提として、次の4機能を備えている。
　● アカウントプロビジョニング
　● ポリシー管理
　● ワークフロー機能
　● 監査機能

　この4つの機能について、以下で詳しく見ていくことにしよう。

■アカウントプロビジョニング

　アカウントプロビジョニングは、IDのライフサイクルを自動的に管理するための機能だ。人事情報と連携し、役職や部署が変更されたユーザーに関して、即座に不要なアカウントを削除したり、一時保留したり、また新しいアクセス権限でのアクセスを可能にすることができる。
　アイデンティティ管理サーバ上のアカウント情報を自動的に各システムに配信するタイプと、各システムがアイデンティティ管理サーバ上のアカウント情報を参照するタイプとがある。

■ポリシー管理

　部署や役職などのロールに応じたアクセス権限（ルール）を設定し、ロールの変更にともなってルールの適用が自動的に行われるようなポリシーを作成しておくことが、アイデンティティ管理の重要なポイントである。アイデンティティ管理ツールはそのポリシーを設計し、必要に応じて改善していくことができなければならない。以下に、ポリシー設計のイメージをつかむために、ノベル社の製品の画面例を掲げる。
　図3では、あるシステムのデフォルトのパスワードを「keyman」に設定している。このようにウィザード形式で様々なポリシー設定を行っていくことができる。複雑なルールであっても条件を積み重ねていくことによって設定が可能になる。
　なお、ポリシーは必ずしも新しく設定するものではない。既存のシステムに散在しているアカウントを棚卸しし、一括管理ができるようにルールに基づくひも付けを行っていくことのほうが多いかも知れない。そのイメージを図4に示す。各システムからアカウント情報を自動的に吸い上げ、関連を調査して整理していくことができるのだ。このようなひも付けのことを「マッピング」という。

ウィザード形式で様々なポリシー設定が可能

図4　散在するアカウントの紐づけと管理の自動化

資料提供：サン・マイクロシステムズ

■ワークフロー機能

　アカウントやアクセス権限の管理プロセスには、様々な段階で業務部門の管理職や情報部門の担当者などによる承認が必要な場合がある。例えばエンドユーザーがあるシステムへのアクセスを希望した場合、その申請を上司が承認し、それを当該システムやアイデンティティ管理システムの管理者が承認して、その管理者の責任で登録するなどといった一連のプロセスをワークフローとして定義して、責任を明らかにしながら管理を行う場面もある。アイデンティティ管理ツールは、その承認の連鎖を証跡として記録することができるため、内部統制にも役立つ。
　図5にワークフロー機能の設定画面例を示す。この画面では視覚的・感覚的にワークフローを定義することができる。

GUIでワークフローを組むことができる。

■監査のためのレポート機能

　内部統制への貢献という意味では、外部の監査に耐える証跡として利用できるレポートが不可欠だ。どのアイデンティティ管理製品でも、ユーザーの属性情報やアカウント情報に関して各種のレポート出力機能を備えているが、監査に力を入れている製品がこれから注目されてくるだろう。
　画面6～9はアイデンティティ監査を自動化するソフトウェアの画面例だ。画面6は不正なアクセス権限を検知、是正するためのポリシー設定画面で、画面7のように対象とする組織を指定してポリシー違反がないかどうかをスキャンすることができる。画面8はスキャン結果の画面例だ。また、画面9では違反状況をポリシー別、組織別、リソース別にグラフで表示している。このような監査機能は、一過的な外部監査への対応という意味よりも、継続的なシステム改善を行い、またポリシーを洗練させていくための下地としてこそ重要であろう。