IAMの基礎

アイデンティティとアクセス管理（IAM）とは、適切なアイデンティティが、適切なリソースに、適切なタイミングで、適切なアクセス権を持つようにするための分野です。

組織のセキュリティを支える基盤です。

これらは別々の3つの概念です。

• 識別：自分が誰であるかを名乗ること（ユーザー名）。
• 認証：それを証明すること（パスワードやキー）。
• 認可：何を実行できるかを決定すること。

アイデンティティは、人間のユーザー、サービスアカウント、マシンなどのエンティティを表します。

アクセスシステムでは、リソースに対して操作を行う認証済みのアイデンティティを、しばしばプリンシパルと呼びます。

アイデンティティは、次のライフサイクルをたどります。

• Joiner：入社時にプロビジョニングされます。
• Mover：役割が変わるとアクセス権が更新されます。
• Leaver：退職時にプロビジョニング解除されます。

プロビジョニング解除に失敗すると、危険な孤立アカウントが残ります。

IAMは認証を一元化し、ユーザーが信頼されたアイデンティティプロバイダー（IdP）に対して一度だけ身元を証明できるようにします。

これにより、アプリケーションごとに分散した一貫性のないパスワードシステムを避けられます。

認証が完了すると、認可によって権限が決まります。

一般的なモデルには、RBAC（ロールベース）とABAC（属性ベース）があります。これらについては次のレッスンで扱います。

AAA（Authentication、Authorization、Accounting）の3つ目のAであるアカウンティングは、誰が何を行ったかを記録することです。

監査ログは、調査、コンプライアンス、悪用の検知に役立ちます。

管理者アカウントとrootアカウントは、価値の高い標的です。特権アクセス管理（PAM）によって、次のような追加の制御を行います。

• ジャストインタイム昇格
• セッション記録
• 認証情報の保管庫管理

すべてのアイデンティティが人間のものとは限りません。サービスアカウント、APIクライアント、ワークロードにもアイデンティティが必要です。

これらは人間のユーザーを上回る数になることも多く、認証情報の慎重なローテーションと適切なスコープ設定が必要です。

ディレクトリは、アイデンティティとグループを一元的に保存します。LDAPベースのディレクトリやクラウドディレクトリなどがその例です。

アプリケーションは独自のユーザー一覧を管理するのではなく、ディレクトリに問い合わせます。

ほとんどの侵害には、盗まれた認証情報や悪用された認証情報が関係しています。強力なIAMには、次の効果があります。

• 攻撃対象領域を縮小します。
• 一貫したポリシーを適用します。
• アクセスを監査可能かつ取り消し可能にします。

IAMの基本について学びました。

• 識別、認証、認可を区別します。
• Joiner-Mover-Leaverのライフサイクルを管理します。
• 特権アイデンティティとマシンアイデンティティを保護し、監査ログを保持します。

次は、RBACとABACのアクセス制御モデルを比較します。