IAMとは何ですか？

アイデンティティおよびアクセス管理（IAM）とは、組織が、人、デバイス、およびサービスに関するデジタルIDを作成、検証、管理し、各IDがどのリソースに、どのような条件下でアクセスできるかを厳密に制御するために用いる、ポリシー、プロセス、および技術からなる枠組みのことです。

主なポイント

• IAMは、誰が、どのようなリソースに、どのような条件下でアクセスできるかを管理します。
• IDプロバイダーは、LDAP、SAML、RADIUS、または証明書を通じて身元を確認します。
• IAMの対象は、単なる人間のユーザーだけでなく、人、デバイス、およびサービスアカウントも含まれます。
• ゼロトラストによるアクセス許可の決定は、IAMを「信頼できるアイデンティティ情報源」として依存しています。
• Versa NGFWおよびZTNAは、IAMが認証したIDに対してポリシーを適用します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · IAM およびVersa · よくある質問

IAMはなぜ重要なのでしょうか？

あらゆるアクセスに関する決定――ユーザーがアプリケーションを開く、デバイスがネットワークに接続する、サービスがAPIを呼び出す――は、すべて「これは誰（あるいは何）であり、何を許可すべきか」という問いから始まります。IAMは、各アプリケーションが独自に認証や認可を行うのではなく、組織全体を通じて一貫した回答を提供します。各アプリケーションが独自に処理を行うと、認証情報の乱立やポリシー適用の一貫性の欠如といった問題が徐々に生じてしまうからです。

IAMが今、より重要視されているのは、かつてアイデンティティを二次的な要素にしていた境界がなくなったためです。ユーザーはどこからでも接続し、デバイスも必ずしも企業が所有しているとは限りません。認証情報の漏洩は、情報漏洩の主な原因として常に上位に挙げられており、ネットワーク上の位置を信頼するのではなく、すべての接続を評価するゼロトラストアーキテクチャは、信頼できるアイデンティティの情報源なしには機能しません。IAMこそがその情報源であり、「明示的な検証」を、強制可能かつ監査可能な制御手段へと変えるものです。

IAMとは何ですか？

IAMは、相互に関連する4つの機能を網羅しています。「IDライフサイクル」では、従業員の入社、役職の変更、または退職に伴い、デジタルIDの作成、更新、および無効化を行います。「認証」では、パスワード、証明書、または多要素認証を用いて、IDが主張する本人であることを確認します。「認可」では、通常はロールベースまたは属性ベースのポリシーを通じて、認証済みのIDにどのような操作を許可するかを決定します。「管理および監査」では、アクセス権限の推移を追跡し、アクセスの確認や取り消しを可能にします。

これらの機能は、プロトコルやプロバイダーを通じて提供されます。Lightweight Directory Access Protocol（LDAP）やActive Directoryは、ディレクトリベースのIDを管理します。RADIUSは、ネットワークおよびリモートアクセスに対する認証を行います。Security Assertion Markup Language（SAML）、OAuth、およびOpenID Connectは、独立したアプリケーション間でIDを連携させ、シングルサインオン（SSO）を実現します。また、X.509証明書は、人ではなくデバイスのIDを確立します。 IDプロバイダー（IdP）――Microsoft Entra ID、Okta、またはディレクトリサーバー――は、これらの判定において他のサービスが信頼する記録管理システムです。

IAMの種類

IAMは、単一のモデルではなく、いくつかのアプローチが共存する形で実装されています。LDAPやActive Directoryを基盤とするオンプレミスのディレクトリサービスは、IDやインフラを自社で運用している環境では依然として一般的です。クラウドベースのIAM（Identity-as-a-Service）――Okta、Microsoft Entra ID、Google IAMなど――は、ID管理、SSO、多要素認証をマネージドクラウドサービスとして提供します。 SAMLやOAuth/OIDCを利用したフェデレーション型IDおよびSSOでは、共有ディレクトリではなく信頼関係を通じて、1組の認証情報で独立して運用されるアプリケーション全体へのアクセスを許可できます。証明書ベースのIDでは、ユーザーの認証情報の代わりに、あるいはそれと併せて、X.509証明書を使用してデバイスやマシンを認証します。これは、ポリシーが個人だけでなくデバイスも評価する必要がある場合に重要となります。

IAM &Versa

Versa Concertoで設定されたユーザーおよびデバイスの認証プロファイルを通じて、外部のIAMプラットフォームと連携します。対応するプラットフォームには、LDAPおよびActive Directory、RADIUS、SAML（Okta、Microsoft Entra ID、PingIdentity、Office 365を含む）、組み込みのVersa ディレクトリ、および証明書ベースのプロファイルがあり、必要に応じてこれらを組み合わせて多要素認証を行うことも可能です。 これらのプロファイルは、Versa のSSEゲートウェイ、NGFW、およびZTNAが、トラフィックをインターネットやプライベートアプリケーションにルーティングする前に評価するルールに反映されるため、アクセス許可の決定は、ネットワーク上の位置情報のみではなく、検証済みのIDおよびデバイスの状態に基づいて行われます。

IAMは、Versa プラットフォームがプロビジョニングするインフラストラクチャへのアクセスも管理します。Versa のVOSブランチデバイスやvCSGがAWS上に展開される際、CMSコネクタはAWSのIAMポリシーまたはインスタンスロールを用いて認証を行い、コネクタがプロビジョニングできる対象を制御します。これは、ユーザー向けのIAMとは別に、インフラストラクチャ向けのIAM機能として機能します。

よくある質問

IAMとアイデンティティ管理（IdM）の違いは何ですか？

両者は大部分が重複していますが、IdMは主にアイデンティティの作成と維持に重点を置くのに対し、IAMはアクセス制御――つまり、認証済みのアイデンティティが何にアクセスできるか、またどのような条件下でアクセスできるかを決定すること――を明確に包含しています。現在、ほとんどのベンダーやアナリストは、実際にはこの2つの用語を同義語として使用しています。

認証と認可の違いは何ですか？

認証とは、認証情報、証明書、または多要素認証を用いて、そのアイデンティティが誰または何であるかを確認するプロセスです。一方、認可とは、認証が成功した後にのみ行われる、そのアイデンティティがどのような操作を行ったり、どのようなリソースにアクセスしたりできるかを決定する別のプロセスです。これらは一連の段階であり、単一のプロセスの同義語ではありません。

フェデレーテッド・アイデンティティとは何ですか？

フェデレーテッド・アイデンティティでは、共有ディレクトリではなく信頼関係を通じて、あるIDプロバイダーの認証情報により、独立して運用されるアプリケーションやサービス全体へのアクセスが可能になります。SAMLやOAuth/OpenID Connectはこの信頼関係を担っており、シングルサインオンは、ユーザーにとって最も身近な日常的な成果と言えます。

Versa は独自のIAMプラットフォームを提供していますか？

いいえ。Versa は、設定可能な認証プロファイルを通じて、組織がすでに導入しているIAMプラットフォーム（LDAP、Active Directory、RADIUS、SAML IDプロバイダー、または証明書など）と連携します。また、外部のIDプロバイダーを導入していない組織向けに、組み込みのVersa ディレクトリオプションも提供しています。

IAMはゼロトラストをどのようにサポートしているのでしょうか？

ゼロトラストでは、ネットワーク上の位置情報に基づく暗黙的な信頼ではなく、接続ごとに継続的な検証が必要であり、その検証には信頼できる情報源が求められます。IAMこそがその情報源であり、検証済みのIDを提供するとともに、証明書プロファイルを通じて、ゼロトラストエンジンが各リクエストごとに評価するデバイスの状態情報を提供します。

IAMに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IAMについてお読みの方は、次にこれらもぜひご覧ください。