第5回 セキュアなユーザーデータの管理【MicrosoftのMVP解説！第五弾 Active Directoryと人事システム連携のコツ丸わかり】

★源泉IDという考え方

正社員や派遣社員など、種別を問わず従業員が入社した場合、人事システムに従業員の情報を登録し、社内システムを利用できるようにActive DirectoryユーザーなどのIDの払い出しを行います。このときに社内システムで利用するIDが物理的な人物と紐づくように作成しないと、なぜ存在するのかわからないIDが作られる可能性があります。実際、銀行口座でも「KYC」と呼ばれる厳格な本人確認を行い、そのうえで口座開設を行うよう、物理的な人物とID（この場合は口座）を紐づけた運用を行うことで不正利用を防いでいます。
そのため、社内システムのIDも物理的な人物と紐づける運用を行いたいのですが、社内のID管理システム自体を一元化できていない企業も多いと思います。そこで、それぞれのID管理システムに登録するIDの「大本（おおもと）」となるIDを設けて一元管理するのです。これを「源泉ID」と呼びます。そして、源泉IDは専用のID管理システムを利用するのではなく、人事システムを源泉IDとして利用すれば、物理的な人物との紐づけもスムーズにできるという話を前回までに行いました。

★IDの不整合が起こる仕組み

源泉IDをもとにしてID管理システムのIDを一元管理するという考え方は一見するとスマートな運用のように思います。しかし、現実には色々な理由で例外が発生するものです。ここでは例を3つ挙げます。
まず1つ目は、協力会社のIDを作って運用するケースです。具体的には、源泉IDである人事システムに登録を行わずに、Active DirectoryだけにIDが登録されてしまう運用方法です。このケースは、以前の連載でも例外を認めない運用にするか、人事システム以外のデータベースを源泉IDにすることを検討してくださいと解説しましたが、そのどちらも守られないことは比較的多くの企業で見られる傾向です。

2つ目は、複数のID管理システムを利用することによって起こるIDの不整合です。例えば、Active Directory（以下、AD）とAzure Active Directory（以下、Azure AD）を利用している企業の場合、ADとAzure ADの構築・運用を別々のITベンダーに発注していれば、当然管理者は別々になります。結果、両者間で一元管理が行われず、源泉IDにも登録されていないIDが作られていくのです。最近ではクラウドID管理システムもOktaとAzure ADを組み合わせるなどの多段構成で運用するケースも出てきていますので、この傾向はますます顕著になりつつあります。

3つ目は、複数のID管理システムを利用することによって起こるグループの不整合です。これは特にAzure ADで起こるパターンですが、ADとAzure ADでグループの管理がバラバラになることで不整合が発生します。それは、ADでは、AGDLP戦略と言ってIDをグローバルグループに登録、そしてグローバルグループをドメインローカルグループに登録し、ドメインローカルグループにアクセス許可を割り当てるという運用を推奨しています。しかし、Azure ADでは、グループの中にグループが含まれるようなグループに対するアクセス許可を割り当てることができません。結果、グループ管理は、ADとAzure ADでまったく異なる運用が求められることになるのです。

ここまで、IDの不整合が起こる仕組みについて解説しましたが、この問題への対処方法は一元管理などという理想論ではなく、やはり定期的な棚卸管理をするのが現実的です。
具体的には、棚卸管理で行う作業は、IDの使用状況と使用目的の確認です。
IDの使用状況の確認では、ID管理システムのログを参照して未使用なIDがないかを確認します。ただし、1年使われていないIDがあった場合にも、それは永遠に使われないIDであるとは限らず、削除を機械的に判断できるわけではありません。

そのため、ID管理者が目視で確認することが必要になります。このとき課題になるのは、未使用IDの本来の利用者がわからないという点です。通常、IDの名前には従業員の名前や社員番号のような識別可能な情報が含まれます。しかし、特定のシステムの管理目的で作られたようなIDの場合、当人しかわからないようなIDを設定してしまうケースもあるため、IDが使われる目的を明確にするような運用を日頃から行うことが必要です。

そして、IDの使用目的の確認では、目的がわからないIDの確認作業は地道に色々な人に聞いてまわるという面倒な作業です。そのため、こうした手間のかかる作業が発生しないように、IDを作成する時点で利用目的をIDの属性に設定すべきなのです。

★効率のよい棚卸管理

定期的に行う棚卸管理は、マンパワーがどうしても必要になる面倒な作業です。そのため、棚卸管理の作業をできるだけ少なくするような運用が求められます。

例えば、人事システムに源泉IDを設ける運用にすると、人事システムに登録できないIDが登場するために不整合が起こるという話をしました。不整合の発生をできるだけ抑えるためには、人事システムからADやAzure ADなどに同期するのではなく、その間に「統合ID管理システム」を挟んで、人事システムに登録されないIDも合わせて管理できる源泉IDを設けて運用するのです。そうすることで、システム管理IDやIDの利用目的など、本来人事システムに掲載されないような情報も管理でき、棚卸管理で行うべき作業を軽減できるのです。

近年、ADやMicrosoft 365（旧称：Office 365）のAzure ADを狙った不正アクセスが話題になっています。不正アクセスの原因には様々な要素がありますが、そのひとつに誰にも管理されていないIDがあります。こうした放置されたIDを排除し、セキュアなユーザーデータの管理を行うには、定期的な棚卸管理、そして棚卸管理の負荷を下げるような仕組みを検討することが必要なのです。