課題：現代のコラボレーションがもたらすアイデンティティの複雑化
今日のコネクテッドエンタープライズにおいて、パートナーやベンダー、請負業者はビジネスの成功に不可欠な存在です。しかし、必要なレベルのアクセス権を付与することで、セキュリティ上、運用上の重大な課題が生じる可能性も捨てきれません。セキュリティギャップを生じさせたり、手作業の増加でIT部門に過大な負荷をかけたり、サイロ化した複数のアイデンティティシステムを管理したりすることなく、適切なアプリケーションへのアクセスを許可するにはどうすればよいでしょうか。
こうした複雑さは、権限を過剰に付与された、または不適切に管理された外部アカウントを悪用する攻撃者にとって、格好の標的となります。従来のアイデンティティ管理方法ではもはや不十分です。セキュリティを中心としたアプローチが必要になります。
Okta Realms：セキュアなコラボレーションの基盤
最新かつセキュアなアイデンティティアーキテクチャ（Oktaが「アイデンティティセキュリティファブリック」と呼ぶもの）を構築する上で重要なのは、すべてのユーザーグループに対して強力でセキュアな境界を設けることです。外部ユーザーに対処する上で、Okta Realmsはこの基盤となる機能の1つです。
レルムを使用すると、パートナーやその他の外部集団を、単一のOkta組織内で、安全かつ相互に排他的でセグメント化されたチームに分割できます。これにより、次のことが可能になります。
- 外部ユーザーチームを分離し、これらの独立したユーザーチームに特定の認証ポリシーを設定することで、セキュリティ態勢を強化します。
- 管理を各パートナーや部署自体に委任することで、運用効率が上がり、IT部門の負担が軽減します。
- アクセス認定キャンペーンのスコープを特定のレルムに限定することで、ガバナンスとコンプライアンスを合理化し、レビューの迅速化と効率化を実現します。ユーザー分布に関するインサイトを得て、可観測性を強化します。
しかし、パートナーのアクセスレベルを決定するビジネスロジックとデータがOkta内に存在しない場合はどうでしょうか？
ノーコードの自動化でアイデンティティを拡張
多くの組織では、CRM、ERP、独自のデータベースといった外部システムのデータに基づいてアクセスを割り当てる必要があります。例えば、販売アプリケーションにおけるパートナーの階層によって、アクセスできるリソースが決まる場合があります。
Okta Platformの真価と拡張性が発揮されるのは、まさにこの点です。外部でホストされる脆弱なカスタムコードを作成する代わりに、セキュアなアイデンティティオーケストレーションを実現するOktaのノーコードプラットフォーム、Okta Workflowsをご利用ください。Workflowsは複雑なアイデンティティプロセスを自動化し、アイデンティティセキュリティファブリックをつなぐ役割を果たします。
ソリューション：Workflowsを使用してレルムを動的に割り当てる
Workflowsを使用すると、Oktaでの新規ユーザー作成を監視し、外部システムにパートナーティアなどの重要なデータを照会して、そのユーザーを適切なレルムに動的に割り当てる自動化プロセスを簡単に作成できます。ユーザーが作成または更新されると、ヘルパーフローがトリガーされます。
- このフローは、APIを介して外部システムにクエリを実行し、関連する属性（「Gold Tier」など）を取得します。
- Workflowsのマッピングテーブルは、このビジネスデータを対応するレルム名に変換します。
- このフローはユーザーのプロファイルを更新し、Universal Directoryの正しいレルムにユーザーを割り当てます。
Workflowsでこのロジックを構築する方法を以下に示します。基本的な実装のフローチャートを以下に示します。
お客様の「階層」が外部アプリケーションに保存されており、ターゲットレルムが以下のようになっている例を考えてみましょう。パートナー向けに「Gold」、「Silver」、「Bronze」という名前のレルムがあるとします。
このアプローチにおける設計上の主な考慮事項は、レルム割り当てポリシーが定義されないようにすることです（つまり、レルム割り当てにはワークフローのみが使用されます）。レルム割り当てポリシーが存在しない場合に、管理者が「すべてのレルム割り当てを実行」をトリガーすると、ユーザーはデフォルトのレルムに配置されます。
よりセキュアで自動化されたエンタープライズの構築
パートナー組織のセキュアな境界を確立するために不可欠なRealmsは、Okta Workflowsの強力な機能と組み合わせることで、技術スタック全体にわたる動的かつ自動化されたアイデンティティセキュリティファブリックの一部となります。アクセス決定をあらゆるビジネスセグメンテーションに紐づけることができるようになり、セキュリティポスチャと業務の俊敏性の両方が向上します。
参考文献
- 製品ハブページSecure Partner Access
- Okta Realmsのドキュメント
- Okta Realms Workflowsコネクター
- Okta Workflowsのシステム制限
