これまで、政府機関のIT部門やセキュリティ部門は、俊敏で最新のクラウドオートメーションか、あるいは厳格でレガシーな暗号化セキュリティフレームワークか、という二者択一を迫られてきました。もうその必要はありません。
米国政府機関は、スマートカードやOkta FastPassなどのツールを使用して、人間の認証セキュリティを大幅に進歩させてきましたが、その裏で行われるマシンツーマシン（M2M）通信のセキュリティ確保は、依然として最重要のチャレンジです。政府機関がユーザーのライフサイクル管理、リソースのプロビジョニング、セキュリティ運用のオーケストレーションを行う自動化パイプラインを構築する際、その自動化されたワークフローは外部インフラストラクチャと連携する必要があります。
従来、このようなアウトバウンドAPI接続を保護するには、共有シークレット、APIキー、基本認証といった厄介な問題に対処する必要がありました。これらの方法は、トークンが1つでも漏洩すると、深刻な情報漏洩リスクをもたらします。現代の攻撃者の先を行くには、動的なゼロトラストセキュリティモデルをログインボックスの先へ、そして自動化されたオペレーションに直接拡張する必要があります。
このたび、Okta Workflowsがアウトバウンドの相互TLS（mTLS）に対応したことを発表いたします。Oktaのコンプライアンスセル内で事業を行う組織専用に設計されたこの機能は、公共部門のチームに、規制の厳しい環境の厳格な要件に対応する、極めて安全な証明書ベースの認証メカニズムを提供します。
Okta WorkflowsでmTLSを使用する理由
mTLSは、暗号化ハンドシェイクを介してアウトバウンド統合レイヤーのセキュリティを確保することで、共有トークンに関連する脆弱性を軽減します。暗号化ハンドシェイクでは、ネットワーク接続の両側がそれぞれのデジタルアイデンティティを検証します。
Okta WorkflowsのアウトバウンドmTLSを使用することで、連邦政府機関とそのパートナーは次のことが可能になります。
- シークレット管理の負担を解消：静的なAPIトークン、有効期間の長いキー、基本認証を廃止し、ローテーションしやすく、暗号化によって裏付けられたアイデンティティ検証に置き換えます。
- 最新の自動化とレガシーインフラストラクチャを連携：OAuthのような最新のプロトコルをサポートしていないものの、証明書ベースの相互認証を厳格に要求する、高度に分離された古い外部システムにシームレスに接続する自動化ワークフローを、セキュアにトリガーします。
- 人間以外にもゼロトラストを適用：自動化されたワークフローにゼロトラストアーキテクチャ（ZTA）の原則を拡張し、外部Actionsを実行する前にワークフローエンジンの明示的な暗号化アイデンティティを検証します。
仕組み：ワークフローのトラストストア
この機能の中核をなすのが、Workflows APIコネクターとトラストストアです。これらは、コンプライアンス対応のOkta Workflows環境にネイティブに組み込まれた、セキュアな管理レイヤーです。APIコネクターとトラストストアは、セキュアなアウトバウンド接続を開始するために必要なAPI接続と証明書を一元管理するライブラリとして機能します。
アウトバウンドmTLSパイプラインの設定は、信頼とセキュリティを特定の接続に厳密に制約するように設計されています。
- 認証局（CA）証明書のアップロード：管理者は、必要なCA証明書をWorkflowsのトラストストアに直接アップロードします。これにより、Okta Workflowsは外部ターゲットサービスのアイデンティティを確実に検証できます。
- API コネクターの構成：自動化フローを構築または更新する際、管理者はAPI コネクターに移動し、認証タイプとしてmTLSを選択して、アップロード済みの証明書に関連付けるだけです。
展開されると、ワークフローによって実行されるすべてのアウトバウンドアクションが相互の暗号化ハンドシェイクをトリガーし、機関のデータが1バイトも交換される前にブリッジの両側を検証します。
お客様の責任と連邦政府の指令
多層防御セキュリティモデルの導入は、共同で進めるべき取り組みです。Oktaは、連邦政府の境界内でこれらの自動化を構築するためのセキュアな環境を提供しますが、OMB M-22-09やNIST SP 800-53rev5などの連邦政府の指令を確実に遵守するため、顧客にはいくつかの責任が残ります。
- エンドポイントの構成：顧客は、受信側の外部インフラストラクチャがmTLS証明書とその発行者を要求し、適切に検証するように明示的に構成されていることを確認する必要があります。
- FIPS暗号化技術：連邦政府の指令に従い、各機関は、生成および使用される暗号モジュールと認証局（CA）がFIPS 140標準に適合していることを検証する必要があります。
- 証明書のライフサイクル管理：各機関は、内部のミッションおよびセキュリティ要件に従って、Workflowsのトラストストアで維持される証明書の管理、監査、ローテーションを行う責任を負います。
政府機関の自動化パイプラインのセキュリティを確保する準備はできていますか？
人間以外のアイデンティティと自動化されたインフラストラクチャのセキュリティを確保することは、複雑になる場合があります。OktaのOkta Workflows mTLSドキュメントは、貴機関が自動化されたmTLSパイプラインの構成を開始する際に役立ちます。
Oktaが人と人以外の両方のベクトルにわたるアイデンティティ攻撃との戦いをどのように続けているか、直接お聞きください。Oktaが連邦政府機関全体にゼロトラストを拡張する方法については、Oktaの担当者にお問い合わせいただくか、Gov Identity Summitのセッションをオンデマンドでご視聴ください。
