実践クラウドセキュリティ 第2版

第4章. アイデンティティとアクセス管理

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

アイデンティティとアクセス管理（IAM）は、おそらく最も重要なセキュリティ・コントロールのセットである。ウェブ・アプリケーションに関わる侵害において、紛失または盗難された資格情報は、数年連続で攻撃者が最も使用したツールである。¹ もし攻撃者がシステムにログインするための有効な資格情報を持っていれば、世界中のどんなパッチやファイアウォールも彼らを防ぐことはできない！

アイデンティティ管理とアクセス管理は一緒に議論されることが多いが、別個の概念であることを理解することが重要である：

• IDは、人（または自動化）がシステム内でどのように表されるかである。²要求を行うエンティティが本当に ID の所有者であることを検証するプロセスは、認証（しばしば「authn」と略され る）と呼ばれる。

• アクセス管理とは、アイデンティティが実行する必要のあるタスク（最小特権環境では、実行する必要のあるタスクのみ）を実行できるようにすることである。 ID がどのような特権を持つべきかを確認するプロセスは、認可（しばしば「authz」と略される）と呼ばれる。

認証（Authentication）とは、、自分が本人であることを証明することである。 物理的な世界では、これは信頼できる機関によって発行され、あなたの写真が載っている ID カードを提示するという形をとるかもしれない。 誰でもその資格情報を検査し、あなたを見て、あなたが自分の言うとお りであると信じるかどうかを決定することができる。 例として、軍事基地に車で行き、運転免許証を提示する場合、あなたは警備員に自分自身を 認証させようとしていることになる。 警備員はあなたを信じることを選ぶかもしれないし、あなたが他人の運転免許証を提出した、あるいはそれが偽造されたものだと判断するかもしれない。

認証とは、ある行動を実行する能力のことで、一般化すると、まず認証（誰かが誰であるかを知ること）に依存する。 例えば、基地の警備員は、"はい、あなたが誰であるかはわかりますが、この基地に入ることは許可されていません "と言うかもしれない。あるいは、入館は許可されても、中に入るとほとんどの建物への立ち入りが許可されないこともある。

ITセキュリティでは、この2つの概念をしばしば混同してしまう。 たとえば、ある人のID（パスワードなどの関連資格情報）を作成し、有効なIDを持つ人なら誰でもシステム上のすべてのデータにアクセスできるように暗黙のうちに許可することがある。あるいは、その人のIDを削除することで、その人のアクセ スを取り消すこともできる。これは機能するが、単にアクセスを拒否するのではなく、運転免許証を 破り捨てるようなものである。これらの解決策は場合によっては適切かもしれないが、その違いを理解することが重要である。システムへのフルアクセスをすべてのユーザに許可することが本当に適切なのだろうか？システムの他の領域へのアクセスを許可するために、組織外のユーザに ID を与えなければならない場合はどうするのか。

概念（と例え）は、すぐに複雑になることに注意してほしい。例えば、どこでも免許証を見せる代わりに、他人に見せるアクセスバッジと、バッジ発行者にだけ見せる必要のあるリフレッシュバッジをチェックアウトするシステムを想像してほしい。 アクセス・バッジは、誰に対してもあなたを認証するが、1日しか使えない。その後、バッジ・オフィスに行き、新しいアクセス・バッジをもらうためにリフレッシュ・バッジを見せなければならない。アクセス・バッジを提示する各サイトは、アクセス・バッジの署名を検証してそれが有効であることを確認し、次に中央当局に呼び出して、そのリソースへのアクセス・リストに登録されているかどうかを尋ねる。これは、いくつかのITアクセスシステムの仕組みに似ているが、幸いなことに、あなたのブラウザとあなたにサービスをプロバイダするシステムが、あなたのためにこれらの詳細を処理してくれる！ ...