現代のエンタープライズにおいて、自動化は効率化の原動力です。しかし、自動化を真に拡大するためには、それを一部の専門家が管理する特化型ツールから、IT、セキュリティ、ビジネス全体で共有される協働的な機能へと進化させる必要があります。リーダーシップに求められる課題は、単に自動化を増やすことではなく、それを拡張可能なガバナンスモデルのもとで実現することです。
弊社は、お客様が自動化の取り組みを自信を持って進められるよう支援するため、Okta Workflowsにおけるフォルダレベルのロールベースアクセスコントロール（RBAC）とフォルダスコープ接続の早期アクセスリリースを発表いたします。
ビジョン：エンタープライズの自動化ジャーニーを支援する
弊社の目標は、Okta Workflowsを組織全体を支えるコラボレーションプラットフォームへと進化させることです。きめ細かなアクセスコントロールを導入することで、ITチームが主要なビルダーとしての役割を超え、各部門が安全に自動化を実現できるよう支援する戦略的なイネーブラーへと進化できます。
これらの新しいコントロールにより、中央での統制を維持しながらも、各チームにそれぞれの自動化ニーズを自律的に管理する権限を付与できます。人事からファイナンスまで、各部署は統制された環境の中で、部門独自のソリューションを構築および管理できるようになります。これによりITのボトルネックが解消され、貴重なITリソースを他のミッションクリティカルな業務に振り向けることができるようになります。同時に、全社のチームがデジタルトランスフォーメーションを加速できるようになります。
フォルダレベルのRBACによる安全な権限委譲
セキュリティと俊敏性はトレードオフの関係であってはなりません。フォルダレベルRBACにより、ユーザーとリソースをよりきめ細かく管理できるようになります。管理者は、Workflowsプラットフォーム全体に対して広範な組織横断のアクセス権を付与するのではなく、プロジェクト、部門、地理的な地域ごとに構造化されたフォルダにリソースを整理し、それぞれの境界内で特定の役割を割り当てることができます。この「ウォールドガーデン」アプローチにより、ユーザーは生産性を発揮するために必要な許可のみを持ち、自身のスコープを超えたリソースを閲覧または変更してしまうリスクを排除できます。
各ペルソナに対応した新しい役割
すでにリリースされている3つの役割（Workflows管理者、Workflows監査役、接続マネージャー）は、Workflows組織全体の可視性を提供しますが、それに加えて、フォルダレベルの新しい4つの役割をリリースしました。
- フォルダマネージャー：特定のフォルダの「管理者」として機能し、すべてのリソースに対する完全な制御権限と、そのフォルダ内のユーザー役割の割り当てを管理する能力を持ちます。
- フォルダエディター：フロー、テーブル、接続の作成および管理に対するフルアクセスを提供します。ユーザーアクセス管理は不要で、主要な自動化構築を担うユーザーに最適な役割です。
- フォルダランナー：フォルダ内リソースへの読み取り専用アクセスを提供しつつ、ユーザーがフローを手動で実行し、実行履歴を確認できるようにすることで、トラブルシューティングおよび運用サポートを可能にします。
- フォルダー閲覧者：フローやテーブルのロジックを閲覧するための厳格な読み取り専用アクセスを提供し、変更を加えるリスクなしにトレーニング対象者や関係者が学習できる安全な環境を提供します。
スコープ付き接続によるリスク軽減
複雑な自動化環境において、サードパーティAPIやサービスアカウントへのアクセス管理は、最優先のセキュリティ事項です。フォルダスコープ接続の導入により、高権限の認証情報の使用を特定の承認済みフォルダおよびユーザーに制限できるようになります。
これがセキュリティ態勢に与える意味は以下のとおりです。
- 最小権限の強制：これにより、（機密性の高い人事システムなどの）高権限の接続を、それらを必要とする特定のチームやフォルダのみに制限できます。
- 「影響範囲」の制限：接続をフォルダにスコープ設定することで、フローの設定ミスやユーザーの操作ミスが発生した場合でも、権限昇格につながる可能性も含めて、影響範囲をそのフォルダ内に限定できるようになります。
- プロアクティブなガバナンスと可視性：接続をフォルダに割り当てる前に、管理者はそのフォルダにアクセスできるユーザーの数を正確に把握できます。この可視性により、機密性の高い認証情報が意図せず「過剰に共有」されることを防ぎます。
自動化スプロールの抑制
より多くのチームがアクセスできるようになることは大きな価値をもたらしますが、適切な制御がなければ「自動化スプロール」により可視性のギャップが生じ、IT部門がすべての接続やフローを保護することが難しくなります。ユーザーおよび接続をフォルダレベルで管理すれば、環境が整理され、安全性を維持するために必要な論理的な構造が得られます。
ユーザーが作成できる自動化や利用できるリソースをより細かく制御することで、組織は高度なガバナンスを維持できます。これにより、エンタープライズ全体でアクティブな自動化の数が増加しても、すべてのフローは意図的に構築され、文書化され、社内ポリシーと整合したものとなります。
取り組みを前に進める
フォルダレベルのRBACとフォルダスコープ接続は、現在早期アクセスとして利用可能です。今回のリリースは、指数関数的な成長を支える安全な基盤を提供することを目的としています。新規ユーザーを「閲覧者」としてトレーニングし、将来の人材基盤を育成する場合でも、「フォルダマネージャー」権限を持つグローバルなDevOpsチームに地域タスクを任せる場合でも、Okta Workflowsは、安全に拡張するためのツールを提供します。
はじめに
- 役割の詳細：役割バインディングと権限の詳細については、技術文書をご覧ください。
- リソースの整理：まずは既存のフローを監査し、組織や部門の構造を反映したフォルダ構成に整理することをお勧めします。
- 接続の監査：今回のリリースを機に、グローバル接続状況を見直してください。全キュリティリスクを低減するため、特定のフォルダに制限すべき高権限のサービスアカウントを特定します。
- 新しいビルダーのオンボード：フォルダー閲覧者やフォルダーランナーの役割を活用することで、新しいチームメンバーを安全にWorkflowsへオンボードできます。既存のロジックを参照することで、運用中のフローに誤って変更を加えることなく学習できます。
