何十年もの間、特権アクセス管理（PAM）は、LinuxホストやWindowsサーバー上で認証情報のボールト保管、パスワードのローテーション、セッションの記録を行うことで、サーバーのアクセス管理における課題を解決してきました。その時代において、このアプローチは確かに有効でした。
しかし、攻撃対象領域は変化しています。企業における最も機密性の高いデータは、もはや主にサーバー上に存在するわけではありません。こうしたデータはデータベースに格納されており、その中には、顧客情報、財務データ、個人を特定できる情報（PII）、規制対象のワークロードなどが含まれます。その量は増加の一途をたどり、その機密性もさらに高まっています。そして、そのデータを保持する環境は、従来のPAMが対応できる範疇をはるかに超えて複雑化しています。
現代のデータベース環境は単層ではありません。オンプレミスのインスタンス、クラウドマネージドサービス、そして拡大し続ける多様なデータベースエンジンにまたがっており、そのそれぞれに独自の権限モデル、ロール階層、ネイティブのアクセス制御機能が存在します。これらの環境を横断して作業する開発者やデータベース管理者は、従来のサーバーアクセスとは根本的に異なるクレデンシャル管理の課題に直面することになります。権限は複雑なネスト構造になっており、その継承関係は不透明です。表面上は「最小権限」が適用されているように見えても、実際には2階層下に、広範なアクセス権が隠されているケースが少なくありません。
規制によって、状況はさらに厳しくなりました。SOX、GDPR、HIPAA、PCI DSSといったフレームワークはいずれも、「誰が、いつ、どのデータにアクセスできるか」を、明確に証明できる形で制御することを求めています。監査人はその証明を要求し、セキュリティチームはルールの徹底に努めています。しかし、それを支えるツールが追いついていません。ほとんどの組織では、最も機密性の高いデータストアへのアクセスを保護するために、依然として静的クレデンシャル、共有サービスアカウント、手動のローテーションプロセスに頼っているのが現状です。静的クレデンシャルこのギャップこそが、データ侵害の発生原因となっているのです。
Okta Privileged Accessにおけるデータベース管理
Okta Privileged Accessで、新たにSecure Privileged Access for Databases（データベース向けのセキュアな特権アクセス）の提供を開始しました。現在早期アクセス版として提供されているこの機能は、データベースのアクセス制御を、サーバー、SaaSアプリケーション、Active Directoryで使用されている既存のセキュリティポリシーと統合します。可視性を一元化することで、重要なデータ層においてアクセスの断片化が引き起こしていたリスクを排除します。静的クレデンシャルはもう不要です。組織内で共有パスワードが放置されることももうありません。最も重要なシステムに対する、ガバナンスの効いた監査可能なアクセスのみが実現されます。
新機能のハイライトは以下のとおりです。
共有データベースユーザーの適切な管理を、ついに実現
共有データベースユーザーは、セキュリティの抜け穴になっています。誰もが使用するアカウントでありながら、実質的な所有者が誰もいないためです。Privileged Accessの管理者は、共有データベースユーザーを管理対象リソースとしてオンボーディングできるため、エンドユーザーは、すでに慣れ親しんだ普段通りの操作感で特定のデータベースにアクセスできるようになります。
静的クレデンシャルからの完全な脱却
Privileged Accessは、共有データベースユーザーのパスワードの制御を引き継ぎ、暗号技術によってセキュアな値にローテーションした上で、ボールト保管します。ユーザーがアクセスを必要とする際は、有効期限付きセッション用の資格情報をチェックアウトします。セッションが終了すると、そのパスワードは自動的に失効し、再びローテーションされます。
リソースの機密性に応じたポリシー制御
Privileged Access機能により、すべてのアクセス要求に対してチェックアウト要件とMFAを適用できるため、すべてのセッションが検証・統制され、いつでも監査に対応できるようになります。
現在、そして将来にわたって運用するデータベースを幅広くカバー
Privileged Access for Databasesの早期アクセス版は、PostgreSQLとMySQLをサポートしています。間もなく一般提供が開始され、今後はMicrosoft SQL Server、Oracle Database、MongoDBへとサポート対象を拡大していく予定です。
動画：Oktaはどのようにデータベースアクセスを保護するのか？
今後の展望
今回の最初のリリースでは、静的クレデンシャルを排除し、共有データベースユーザーをポリシー主導の制御下に置きます。ここからのロードマップは、さらに野心的なものとなります。より広範なデータベースへの対応、ユーザーオンボーディングルールの自動化、そしてテーブルレベルの細かい粒度を持った完全エフェメラル型のジャストインタイム（JIT）なデータベースユーザーの実現に向けた道筋です。
Oktaが目指す最終的なゴールは明確です。それは、「ゼロスタンディング特権（ZSP）」です。攻撃者に狙われやすい永続的な資格情報は存在せず、時間とともにアクセス権が蓄積されていくアカウントもない状態を指します。アクセス権は必要なときにのみに、当面の作業にスコープを限定して付与され、セッションの終了とともに消滅します。
そこに至るまでには、いくつもの段階を踏む必要があります。多くの組織はいまだにボールト保管やローテーションに依存しており、これらの制御機能も依然として重要です。Okta Privileged Accessはその両方をサポートし、チームが現在運用している「永続特権モデル」と、これからの目標となる「エフェメラルアクセスモデル」との間のギャップを埋める架け橋となります。
導入に向けて次のステップへ。Okta Privileged Accessのデモをご希望の場合は、担当のアカウントエグゼクティブまたはカスタマーサクセスマネージャーまでお気軽にお問い合わせください。
本ブログで言及されている将来の製品、機能、仕様、認定に関する記述は、情報提供のみを目的としています。これらは提供を確約するものではなく、購買の意思決定を行う際に依拠すべきものではありません。© Okta, Inc. and its affiliates.
