第2回 人事管理の業務フローとAD管理【MicrosoftのMVP解説！第五弾 Active Directoryと人事システム連携のコツ丸わかり】

先日、あるSI事業者の方とお話をする機会があり、最近Active Directoryに詳しいエンジニアが少なくなっているとの話を伺いました。社内ID管理システムとして西暦2000年に登場したActive Directory（以下、AD）は20年経過した現在でも多くの企業で採用されているあまりにも有名なシステムですが、一方で20年前に第一線で働いていたエンジニアが去り、技術継承されることなく現在に至ってしまっている企業も多いそうです。そして新しくエンジニアがADを管理することになると、ADの知識がなければ新たに学習するわけですが、学習すればするほど自社のADがなぜそのような設計になっているのかわからなくなるそうです。
一般的とは言えないADの使われ方をしている要因は色々ありますが、要因のひとつに20年前と今とではまったく異なる人事管理の体系が存在していることが挙げられます。

上の図は人事管理の体系とID管理の体系を並べたもので、この2つを連動させていくことが私たちのミッションであることは前回にもお話しした通りです。しかしADの基本的な仕組みは20年間でほとんど変わらない一方で、ADと連携する人事管理は20年前と比較して大きく変わっています。実際、タレントマネジメントの分野では個々のキャリア形成に関わる情報をADとどう連携するか、エンゲージメントを高めるための会社としての施策の浸透度をADとどう連携するか、など20年前には想像もしなかったことを突き付けられているのです。そのため、20年前の基準で設計されたADの仕組みや社内での運用ルールは見直さなければならない時期に来ているといえます。
そこで、これから社内のADを管理するという方がいたら、過去のADの運用ルールにとらわれることなく現在必要なことは何かを基準に新しいルールを策定し、運用していただきたいと思います。

★AD管理の在り方を人事システムと共に考える

ADに限らず、ID管理システムの設計を行うときに最も重要なことはID管理システムを使って何をやりたいかを明確にすることです。

例えば、ADを使ってやりたいことが、ドメイン参加しているサーバーにインストールされている業務アプリケーションのアクセス権管理だとしましょう。この場合、業務アプリケーションのアクセス権管理を行うために必要な情報をADに入れていくのです。例えば、アクセス権が部署単位で管理されているのであれば部署情報を個々のADユーザーの属性として設定すればよいですし、一定のスキルを持つ人材にのみアクセス権を与えたいのであればLMS（ラーニングマネジメントシステム）に保存された特定教材のテスト結果を個々のADユーザーの属性として設定すればよいのです。または、テスト結果が合格だったユーザーを合格者グループに入れて運用するような方法でもよいでしょう。

このようにアクセス権管理を行うために必要な情報をADに入れていくことで、アクセス権管理自体も非常にスムーズに進みます。

★人事システムとADの連携

前の図では人事システムやLMSに保存された人事情報をADに入れて管理することを解説しましたが、この連携をどのように行うのか？という課題があります。また大きな枠組みで考えれば、そもそも新規に採用した人材を人事システムに登録した時に同時にADにもユーザーが作られるような連携や、人材が退職した時にユーザーを無効化/削除するような連携をどのように行うのか？といった課題もあるでしょう。

このとき、絶対にやって欲しくないのは連携を行うためのシステム自体を作りこんでしまうことです。SIerさんに依頼して連携システムを作ってもらったり、CSVファイルで情シスが頑張って運用したりするケースを見かけますが、後々メンテナンスで必ず苦しめられます（そうした事例を私はたくさん見てきました）。

既に世にある連携のためのシステムは、連携させるパラメーターの定義が簡単にできたり、前回もお話ししたマスターIDの管理が適切に実施できるものであることがほとんどです。（これが困難な連携システムは淘汰されているはずです。）ですので、そうしたシステムに任せてしまい、私たちは生産性を向上させたり、付加価値を高めたりできるような別の仕事に時間を割いていくべきではないかと考えています。

最後にノーコードのツールを使って作りこむことについて少しだけ触れさせてください。
最近、プログラミングの知識がなくてもシステムが作れるノーコードのツールが流行っています。ノーコードのツールを使って人事システムとの連携を行う話なども一部で聞きますが、これも私はお勧めしません。ノーコードのツールはプログラミングの知識がなくてもシステムはできますが、プログラマーとしての考え方を持っていることが前提条件だからです。

例えば条件分岐を設定する際、プログラミングの知識がない人がノーコードのツールで条件分岐を設定させたら、無駄な処理の多い非効率なシステムが出来上がってしまう可能性があります。また、プログラミングを行うときの基本である、コメントを残す、ドキュメント化する、などができていないと引き継ぎを受ける人は何が書かれたシステムなのか分からないという問題も多少なりとも起こってしまうからです。