ロールベースのアクセス制御（RBAC）の管理は、あらゆるアイデンティティプログラムにおいてきわめて重要な部分ですが、スケールが大きくなるとすぐに複雑化し、リスクが高まる可能性があります。手動によるアクセスの付与とアクセス権の取り消しのプロセスでは、今日の動的な労働力の変化に対応しきれません。
Okta Lifecycle ManagementとOkta Identity Governanceを導入することで、組織はRBACを自動化および保護し、従業員が適切なタイミングで適切なアクセス権を取得できるようになります。
重要な理由
RBACの核となる考え方は、従業員をその役割に基づいて必要なアクセスにマッピングすることです。チャレンジ：大企業には、数千人規模の従業員、数千ものアプリケーション、そしてエンタイトルメントが存在します。そうしたアクセスすべてを手動で管理すると、非効率性、高コスト、セキュリティの死角が生じます。
非効率であること以上に大きなリスクは、「アクセススプロール」です。従業員には時間とともに権限が蓄積されていきますが、定期的なレビューや自動的な削除が行われないと、不要になったシステムへのアクセス権を保持し続けることがよくあります。これは最小権限の原則に違反しており、アカウントが侵害された場合にセキュリティリスクを生む可能性があります。
最後に、従業員エクスペリエンスが危機に瀕しています。新入社員は入社初日から生産性を発揮し、異動者は役割間をシームレスに移行し、退職者は即座に安全なプロビジョニング解除が行われる必要があります。これを誤ると、生産性の低下とセキュリティギャップの両方につながります。
ロールマイニングが不十分である理由
従来のアイデンティティガバナンスのアプローチは、ロールマイニングに大きく依存していました。ロールマイニングは、既存のエンタイトルメントを分析し、パターンにクラスタリングして、組織全体で静的な「ロール」を定義しようとする、1回限りのリソース集約型のプロセスです。
しかし、ビジネスの変化に伴って役割も変化します。ロールマイニングプロジェクトは6か月から12か月かかることがありますが、導入される頃には組織図が変わり、新しいアプリケーションが追加され、結果はすでに時代遅れになっています。コストのかかる手戻り、絶え間ない微調整、そして管理者の不満につながります。
現代のRBACには、ビジネスの進化に合わせて動的に適応する、よりスマートなアプローチが求められます。
Oktaによる解決策
Oktaは、アイデンティティデータを統合し、アクセス割り当てを自動化し、ライフサイクル全体にわたってガバナンスを組み込むことで、RBACの包括的な基盤を提供します。
信頼できる情報源としてのUniversal Directory
Okta Universal Directoryは、部署、役職、勤務地、マネージャーといったアイデンティティ属性を、信頼できる単一のレコードに一元化します。これらの属性は自動化を促進し、ユーザーを適切なグループ、コレクション、またはエンタイトルメントに自動的に割り当てるルールを強化します。
グループ、コレクション、バンドルを使用したビジネスロールの定義
- グループを使用すると、従業員を「EMEA営業担当者」や「財務部門買掛金担当」などのロールにマッピングして、アクセスを簡素化できます。1回の割り当てで複数のアプリへのアクセスを制御します。
- リソースコレクションは、これをエンタイトルメントレベルにまで拡張します。例えば、「プロジェクトマネージャー」コレクションは、Jiraでの「読み取り」権限とConfluenceでの「編集」権限を付与することができます。
- エンタイトルメントバンドルを使用すると、管理者は単一のアプリケーション内で関連する権限をグループ化できるため、ユーザーは期間限定のプロジェクトのためにそれらをまとめてリクエストできます。
入社、異動、退社イベントの自動化
- 入社者：グループルールとエンタイトルメントポリシーにより、新規採用者のプロファイルに基づいて適切なアクセス権が自動的にプロビジョニングされます。
- 異動者：役割が変更されると、Oktaは古いアクセス権を自動的に削除し、新しいルールを適用して、必要に応じて認定をトリガーします。
- 退職者：Oktaはすべてのシステムのアカウントを即座にプロビジョニング解除し、孤立したアクセスによるリスクを排除します。
他との違い
Oktaは、ライフサイクルオートメーションと詳細なガバナンスを組み合わせることで、従来のRBACを超える機能を提供します。静的なロールや手動プロセスに重点を置くレガシーなツールとは異なり、Oktaは以下を提供します。
- 属性主導の自動化で、手間なく拡張できます。
- SaaSアプリとオンプレミスアプリ全体にわたる、きめ細かいエンタイトルメント管理。
- 完全なガバナンスワークフローを備え、時間的制約のある要求可能なアクセス。
- 生産性を低下させることなく最小権限を徹底する、統合された認定です。
この統一的なアプローチにより、Organizationsはセキュリティとスピードのどちらかを選択する必要がなくなり、両方を手に入れることができます。
RBACは、複雑であったり、リスクを伴うものであったりする必要はありません。Okta Lifecycle ManagementとOkta Identity Governanceを導入することで、組織は役割管理を簡素化し、アクセス判断を自動化し、最小権限を大規模に適用できます。その結果、従業員は生産性を維持し、IT部門は効率性を維持し、組織はセキュリティを維持できます。
すでにOkta Identity Governanceをご利用のお客様Okta Identity Governance製品ハブで、ベストプラクティスを活用してアクセスポリシーとロールを微調整する方法をご確認ください。
Okta Identity Governanceを初めてご利用ですか？Oktaのスペシャリストに相談し、Okta Identity Governanceがどのようにビジネスの進化に対応するアクセス ポリシーの構築に役立つかをご確認ください。複雑な事前のモデリングや厳格なロール階層は必要ありません。
