世界中の組織が、非人間アイデンティティ（NHI）、つまりAPIキーやサービスアカウントといったマシンベースの認証情報の管理を優先課題としています。企業が生成AI、自動化ツール、AIエージェントを導入するにつれて、アイデンティティの対象領域は急速に拡大しています。サービスアカウント、API、ボット、AIエージェントがデジタルワークフォースの一部となった今、人間のユーザーだけを保護するのではもはや不十分です。こうした非人間アイデンティティ（NHI）は、効率性と生産性の向上をもたらします。しかし、これらは新たな攻撃対象領域も生み出します。適切なガバナンス、認証情報ハイジーン、継続的な監視、ライフサイクル管理がなければ、深刻なセキュリティ問題を引き起こす可能性があります。
そこで基本的なソリューションとして登場するのが、Identity Security Fabric（ISF）という概念です。これは、人間かマシンかを問わず、あらゆるアイデンティティに対して一貫したセキュリティ態勢、ガバナンス、可視性を提供する統一されたフレームワークです。
このブログ記事では、OktaがAIエージェントをISFに統合して、AIを活用したアイデンティティ脅威防御を実現する方法について解説します。これにより、企業は信頼を損なうことなくAIを安全に展開できます。
非人間アイデンティティにファブリックレベルのセキュリティが求められる理由とは
今日の組織で運用されているのは、人間だけではありません。
- 自動化、共有アカウント、サービスアカウントのためのツール
- OAuthトークン、APIキー、アクセストークン
- AIエージェント（自律型ボット、自動化ボット、生成AIアシスタント）
Oktaは、今後数年間で、特にAIエージェントの利用頻度が高まるにつれて、非人間アイデンティティ（NHI）の数が劇的に増加すると予測しています。しかし、こうしたアイデンティティの多くは管理されていないのが現状です。MFAやフェデレーションが未設定のまま放置されていたり、静的な認証情報や過剰な権限がそのまま運用されていたりすることが少なくありません。
侵害された非人間アイデンティティは、多くの場合検知されない永続的な特権アクセスを提供する可能性があるため、従来のアイデンティティ管理における大きな「死角」となり、格好の攻撃対象領域を生み出します。
そのため、単一のセキュリティアーキテクチャ内で各アイデンティティをファーストクラスエンティティとして扱う、新しいパラダイムが必要です。
Identity Security Fabric（ISF）の核心とは？
Identity Security Fabricは単なるコンセプトではありません。これは、脅威検知、特権アクセス、アイデンティティガバナンスなどを、あらゆる種類のアイデンティティ（人間、マシン、AIエージェント）とハイブリッドインフラストラクチャ全体で組み合わせた、包括的で多層的なアーキテクチャです。
ISFの主なメリット：
- 一元化された可視性と制御：すべてのアイデンティティを単一のコントロールプレーンで管理することで、サイロが解消されます。
- 大規模で一貫したガバナンス：サービスアカウント、ボット、AIエージェントを含むすべてのアイデンティティに、同じライフサイクルポリシー（自動プロビジョニング、プロビジョニング解除、レビュー、エンタイトルメント管理）が適用されます。
- アダプティブでリスクを認識したアクセス：アクセスに関する決定は、コンテキスト、最小権限の適用、リアルタイムのリスク評価に基づいて行われます。
- 継続的な脅威の監視と対応：行動アナリティクスと異常検知を含むIdentity Threat Protectionは、継続的な脅威の監視を通じて、非人間アイデンティティが引き起こす問題を特定し、対処します。
簡単に言えば、ISFは、アイデンティティを静的な認証情報ベースの概念から、動的で継続的に監視されるセキュリティ境界へと転換させます。これは、AIエージェントがマシン速度で自律的に動作する際に極めて重要になります。
OktaのISFがAIエージェントを保護する方法 — ステップバイステップガイド
Oktaは、以下の機能を通じて、特にAIエージェントやその他の非人間アイデンティティを対象にプラットフォームを拡張します。
すべてのアイデンティティを検出して分類
OktaはIdentity Security Posture Management（ISPM）を使用して、サービスアカウント、APIキー、AIエージェント、孤立した認証情報、不適切に管理されている認証情報など、既存の非人間アイデンティティを特定できます。これにより、チームは所有者、リスクレベル、使用傾向などのメタデータで各アイデンティティを分類し、保有する資産とリスクの所在を把握できます。
アイデンティティレジストリと統合ディレクトリ
人間か非人間かを問わず、すべてのアイデンティティはOktaのUniversal Directory（またはISFの同等の機能）によって単一のレジストリに統合され、一元的に管理されます。その結果、各アイデンティティは、所有権、特性、ガバナンス情報を含む「公式」のアイデンティティレコードを持つことになります。
最小権限アクセスとジャストインタイムアクセス（Privileged Access）
広範な、または常時有効な認証情報を付与するのとは対照的に、OktaはAIエージェントや非人間アイデンティティに対して、きめ細かな最小権限のアクセス制御を付与します。アクセスのスコープを限定し、必要な場合にのみ権限を付与し、使用後に取り消すことで、JITによって影響範囲を大幅に縮小できます。
エージェントとアプリ間のインタラクションのセキュリティを確保：Cross App Access（XAA）
Oktaの主要なイノベーションの1つに、Cross App Access（XAA）があります。これは、OAuthを基盤として構築されたオープンプロトコルで、エージェント主導またはアプリ間の通信のセキュリティを確保します。XAAを利用することで、認証と認可はポイントツーポイントのアドホックな認証情報からアイデンティティレイヤーへと移行します。これにより、すべてのエージェントのアクセスが一元的に統制され、ポリシーに基づいて制御され、完全な監査が可能になります。
この標準化により、開発者はデフォルトでアイデンティティファブリックに接続する「ファブリック対応」のAIエージェントを作成できるようになり、組織全体で一貫したセキュリティを確保できます。
ガバナンス、監視、脅威検知（Identity Protection）
OktaのISFは、プロビジョニングとアクセス制御にとどまりません。人間および非人間の両方のアイデンティティアクティビティを継続的に監視し、行動アナリティクスを用いて異常を検知し、全アクションのログを保持して、包括的なガバナンスを提供します。
AIエージェントが不審な動作をした場合、Oktaはアクセス権の取り消し、セキュリティチームへのアラート、アイデンティティの分離といった迅速な自動レスポンスを開始して、潜在的な脅威を防ぎます。
コンプライアンス、監査性、ライフサイクル管理
企業は、統合されたアイデンティティガバナンスと監視機能を使用して、人間と非人間の両方のアイデンティティの監査証跡、エンタイトルメント評価、アクセス証明書を管理できます。これにより、コンプライアンスフレームワーク（SOC 2、ISO 27001など）を補完し、企業は責任とトレーサビリティを求めるAI関連の新たな法的義務に対応できるようになります。
Oktaのアプローチが重要である理由：アイデンティティ中心のAIセキュリティがもたらす価値とは
Oktaは、セキュアなアイデンティティファブリックにAIエージェントのセキュリティを組み込むことで、セキュリティとコンプライアンスを維持しながらAIと自動化を導入するためのロードマップを組織に提供します。価値には以下が含まれます。
- 潜在的なリスクの可視化：多くの組織は、使用されているサービスアカウント、ボット、AIエージェントの数を把握していません。Oktaは、こうした死角の発見を支援します。
- 攻撃対象領域の縮小：ジャストインタイムのプロビジョニングと最小権限アクセスにより、エージェントに不要なアクセス権が付与されるのを防ぎ、起こり得る被害を軽減します。
- 標準化されたスケーラブルなセキュリティ：オープンプロトコル（XAA）と一貫したガバナンスにより、断片化したパッチワークを排除し、アプリ、API、クラウド、オンプレミス環境全体で一貫したセキュリティを実現します。
- 安全性と運用効率の両立：Oktaはアイデンティティのライフサイクル、ガバナンス、監査性を管理し、手作業によるオーバーヘッドをなくして自動化とAIの活用を促進します。
- 監査と規制に対応できる体制：アイデンティティのログとガバナンスを統合することで、コンプライアンス要件を満たし、将来のAIに特化した規制に備えることができます。
このように、アイデンティティは人間かマシンかを問わず信頼の基盤となり、自信を持ってAIを導入することを可能にします。
AIエージェントがエンタープライズのプロセスに不可欠な要素となるにつれて、アイデンティティはもはや人間だけのものではなくなります。マシン、ボット、自律型エージェントはすべて、同等かそれ以上のセキュリティ、ガバナンス、監視を必要とします。
AIアイデンティティのセキュリティを今すぐ強固に保護しませんか？
AI主導のビジネスの立ち上げや開発を検討している場合、ISFの導入は単なるベストプラクティスにとどまりません。AI主導のリスクを管理された信頼へと変える防御アーキテクチャなのです。
OktaのIdentity Security Fabricは、は、単なる識別（ID特定）をセキュリティ制御の中央レイヤーへと進化させ、従業員、サービスアカウント、自動化ツール、APIキー、AIエージェントなど、あらゆる人やモノを保護します。Oktaは、一元的な可視性、最小権限アクセス、標準化されたプロトコル、継続的な監視、監査に対応したガバナンスを提供することで、企業が安全かつ責任ある方法でAIの能力を活用できるよう支援します。
