第3回 Azure ADが含まれるケースでのID管理フロー【MicrosoftのMVP解説！第五弾 Active Directoryと人事システム連携のコツ丸わかり】

★源泉IDを決めて運用する

当ブログのシリーズでも登場するMicrosoft 365(旧称：Office 365)は、日経225採用の70%以上の企業で使われているとも言われるほど、クラウドサービスは今や多くの企業で使われるようになりました。一方で、クラウドサービスを利用することになれば必ずそのためのIDが発生し、Active Directoryとは別に管理しなければなりません。
さらに人事システム管理も同時に行うことを考えると、管理すべき要素が増え、管理が煩雑になりがちです。

しかしクラウドサービスが絡んだ場合でも、Active Directoryと人事システムの連携と同じように、源泉となるIDの場所を決めて運用する原則は変わりません。新しい従業員が会社で働くことになったら、人事システムに個人情報を登録したり、Active Directoryやクラウドサービスにユーザーを登録したりしますが、このとき最初にユーザー情報を登録する場所を明確にしておきます。この登録場所は、最初にIDが生成される場所という意味で「源泉ID」と呼ぶことにしましょう。

源泉IDは、人事システムでも、Active Directoryでも、CSVファイルでも構いません。いずれにしても源泉IDの場所を明確にし、源泉IDを起点にID管理を行えば、誰にもわからないActive Directoryユーザーがいたり、クラウドサービス上のユーザーがいつまでも残されていたりする問題は解決されるはずです。

話は少しそれますが、2020年9月に大手通信会社の決済サービスを経由した銀行口座への不正アクセスの事件がありました。この事件では銀行のサービスが本人確認が明確ではないサービスと連携することが原因と報道されていますが、突き詰めると、口座連携によって結果的に複数の源泉IDが存在することになってしまい、そのうちのひとつが適切な管理が行われていなかったことが原因だったと言えます。このことからも、複数の源泉IDを同時並行に管理することの難しさがよくわかると思います。

★源泉IDとの連携を設計する

まず源泉IDは「源泉」ですから、できる限り1つになるように、そして例外が発生しないように設計します。一般的に新しい従業員が会社で働き始めるときには人事システムに従業員情報を登録するはずですので、人事システムを源泉IDとすることが多いと思います。

しかし、請負契約や派遣契約などで会社のシステムにアクセスする人が出てくると、人事システムにIDを登録せず、Active DirectoryやクラウドサービスだけにIDを登録するようなケースが発生します。しかし、このような例外は認めないで運用できるよう、例外なく人事システムに会社で働くすべての人の情報は登録します。もしそれができなければ、人事システム以外のシステムやデータベースを源泉IDにすることも検討してください。

次に、源泉IDに登録されたIDをActive DirectoryやクラウドサービスのようなID管理システムに同期を行い、源泉IDに登録されたIDと同じIDを利用できるようにします。ちなみにMicrosoft 365を利用している企業であれば、Azure Active Directory （Azure AD） がクラウドサービスのID管理システムになります。このような構成にすれば、源泉IDをマスターとして人事システム、Active Directory、そしてクラウド上のIDが一元管理できるようになります。

★源泉IDとの連携パターン

源泉IDを人事システムとした場合、人事システムをマスターとしてActive Directoryへの同期、そしてクラウドサービスへのID同期が必要になります。このとき、同期のパターンとして次の2つの方法があります。

ひとつは人事システム、Active Directory、クラウドサービスのID同期を直列に行う方法です。人事システムとActive Directoryの間での同期については前回解説した通りですが、Active Directoryに同期されたIDをさらにクラウドサービスへ同期させることで、結果的にIDの一元化が実現するパターンです。クラウドサービスとしてMicrosoft 365を利用している場合、IDの同期先はAzure ADとなりますが、Active DirectoryからAzure ADへの同期には「Azure AD Connect」と呼ばれるツールをマイクロソフトが提供しており、既に多くの企業での導入実績がある点がメリットといえます。

そしてもうひとつの方法が、源泉ID（人事システム）からActive DirectoryとクラウドサービスへのID同期を並列に行う方法です。この方法は源泉IDが生成されてから、Active DirectoryやクラウドサービスへのID同期がタイムラグを少なくできるため、設定がすぐに反映できる点がメリットといえます。

ここまで、源泉IDを起点にした他のシステムとの同期・連携の仕組みについて解説しました。新しい従業員が働き始めるとき、源泉ID（人事システム）への従業員情報の登録、Active Directoryへの同期、クラウドサービスへの同期を行い、一元的な管理を実現することで、煩雑な管理から解放されるだけでなく、セキュリティインシデントにもID管理の仕組みを実現できるのです。