国内最大規模のクラウド活用を支えるCCoE
株式会社NTTドコモでは2009年頃からパブリッククラウドの利用を開始し、2012年には大規模な商用サービスにも採用するなど、早くから導入を進めてきました。現在では、Webサービスやモバイルアプリ、データ分析、機械学習、社内システムなど、さまざまな領域で活用しています。
こうした取り組みを支えているのが、サービスイノベーション部のCCoE（Cloud Center of Excellence）です。全社的なクラウド活用や業務効率化を推進する専門チームとして、国内最大級のパブリッククラウドに加え、SaaSや独自開発システムで構成されるクラウド共通基盤の開発・運用・管理を担っています。
現在CCoEが管理するパブリッククラウドのアカウント数は、AWSが約2600、Google Cloudが約900、Microsoft Azureが約200に上ります。さらに、クラウド共通基盤としてSlackやBacklog、Jira、Confluence、Zendesk、GitHub、Google Workspaceなど約20のサービスを展開しています。
これほど大規模なクラウド環境を活用するうえで欠かせないのが、アイデンティティ管理と認証の仕組みです。CCoEでは2019年、Slackの全社導入にあわせてOktaが提供する従業員向けアイデンティティ管理製品「Okta Workforce Identity」 を導入し、社員のアイデンティティ管理や認証を一元化。シングルサインオン（SSO）や多要素認証（MFA）によって、利便性とセキュリティを両立する認証環境を整えました。その後、コロナ禍でSlackの利用が拡大。さらに、社員のニーズや利用目的に応じて提供するSaaSを増やし、それらにもOkta Workforce Identityによる認証を順次展開していきました。
「Oktaの一番の導入価値は、認証部分を自分たちで開発しなくて済むことです。独自システムでは、認証機能を自前で構築すると検証を含めて2週間程度かかりますが、Oktaなら数時間で連携できます。SaaSでも、MFAやパスワードポリシーを個別に設計する必要がなく、セキュリティ審査の工数を抑えられます」（ドコモ・テクノロジ株式会社 サービスインテグレーション事業部 スマートインテグレーション部 保延渉氏）
また、のちに同社情報システム部ではMicrosoft Entra IDを導入しましたが、当時は認証機能を他システム向けに提供する運用を行っていなかったため、他部門が利用するSaaSや独自開発システムの認証にもOkta Workforce Identityが使われるようになりました。その結果、現在では40を超えるシステムと連携し、2021年11月時点で約3万人だったアクティブユーザー数は約6万人に倍増。月間サインイン数も15万回以上から約103万回へと7倍近くに増加しています。
社外ユーザーにも認証の間口を広げる
CCoEでは、Okta Workforce IdentityをNTTドコモに限らず、NTTドコモグループの社員や協働者、パートナー企業の社員も利用できるようにしています。さらに、Microsoft Intuneで管理されていないMacやChromebookなどの開発用デバイスやVDIも、会社の承認済みの端末であればOkta Workforce Identityを通じたクラウドサービスへのアクセスを許可しています。約6万人の利用者のうち、協働者は約1万5000人、パートナー企業の社員は約1万6000人。社員向けのEntra IDでは受け入れにくいユーザーやデバイスにも認証の間口を広げられることが、Okta Workforce Identityの大きな価値となっています。
こうした運用の根底にあるのは、CCoEが重視する「ゲートキーパーにならない」という考え方です。
「必要以上に利用を制限せず、セキュリティを担保したうえで、使えるものはできるだけ開放するというスタンスです。社内外を問わず、業務に必要なサービスへ平等にアクセスできることが重要であり、そこがOktaを使い続ける大きな理由でもあります」（保延氏）
「多くのID基盤では同一メールアドレスのユーザーIDは世界に1つであることに対して、Oktaでは同一メールアドレスであってもテナント毎に異なるIDを作成することが可能です。これは企業利用において自社メールアドレス以外のユーザー管理をする上で独自の認証やその付随条件を設定できる点で強力なガバナンスを構築できます。ドコモではこの強みを活用し社員のみならずパートナー、協力会社についてもドコモで設定したルールを一様に適用しておりユーザーの利便性とガバナンスの両立を実現できており、今後の機能拡張にも期待しています」（株式会社NTTドコモ R&Dイノベーション本部 サービスイノベーション部 担当部長 森谷優貴氏）
「Oktaは利用者側でアカウントを作成できるようにしたり、アプリの管理者に認証ポリシーを設定する権限を開放したりと、柔軟な運用ができます。アプリごとにMFAを必須にするなど、必要なセキュリティ強度に合わせて設定を変えられるため、利用の間口を広げながらセキュリティも担保できます」（株式会社NTTドコモ R&Dイノベーション本部 サービスイノベーション部 伊藤祐樹氏）
6万人規模の運用を2人で支える自動化
Okta Workforce IdentityはNTTドコモグループ内外のコラボレーションにおいて欠かせない認証基盤となっていますが、驚くべきなのは、その運用をCCoEのわずか2人で担っていることです。しかもOkta専任ではなく、ほかのSaaSやセキュリティ製品も担当しています。それでも運用できているのは、Okta Workforce Identityが「大規模な環境でも効率的に運用できる」という、CCoEが選定時から重視してきた特徴を備えているからです。
中でも、大きな稼働削減効果につながっているのがOkta Workflowsです。CCoEでは、アイデンティティ管理に関わるプロセスをノーコードで自動化できるこの機能を使い、アカウントの作成や無効化を自動化しています。たとえばアカウント作成では、社員がSlackの所定のチャンネルで「Okta」に続けて対象者のメールアドレスを入力して送信すると、Okta Workflowsが自動でアカウントを作成し、本人に招待メールを送信します。
「以前は、Slackからの入力を受けてAWS Lambdaが動作し、OktaのAPIを呼び出してアカウントを作成する仕組みを独自に構築していました。そのためコードや実行環境の管理が必要でしたが、Okta Workflowsならそうした手間を減らせます。また、コストを抑えながら自動化を広げられる点もメリットです」（保延氏）
アカウントの無効化については、ADと連携しているユーザーは退職情報に基づいて自動処理する一方、ADと連携していないユーザーについても、90日以上ログインがない場合にOkta Workflowsで自動的に無効化する仕組みを構築。こうしたアカウント管理が社内に定着したことで作成や無効化に関する問い合わせはほとんどなくなり、運用にも手がかからなくなったと言います。
「アカウントの招待依頼は多い日には1日100件近くに上り、無効化も6万人規模では人手で管理するのは現実的ではありません。仮に人手で対応するとすれば、専任の担当者が1人必要になるほどの作業量だと思います」（保延氏）
さらに、CCoEではプロビジョニング機能を活用してSlackやZendeskとSCIMで連携し、Okta Workforce Identity上でユーザーを無効化すると各サービス側のアカウントも自動的に停止するようにしています。これにより、サービスごとにアカウントを停止する手間を省くとともに、退職後もアカウントが残ることによる情報漏洩やデータ持ち出しのリスク、不要なライセンスコストを抑えています。
こうした自動化の成果は、工数削減の数字にもはっきり表れています。アカウント作成などに用いていた独自の自動化スクリプトの構築・維持にかかる時間を年間約1,600時間削減。さらに、ユーザーアカウントの作成や停止にかかる作業時間も年間約4万3,500時間削減することに成功しました。
「最近では、ZendeskとOkta Workflowsを組み合わせ、Intuneで管理されていない開発用デバイスの制御も実現しました。利用者からの申請を上長が承認すると、Okta Workflowsが自動で処理し、承認されたデバイスからのみアプリケーションへアクセスできる仕組みです。Oktaを活用したこうした自動化を進めることで、1人で複数のサービスを担当できる体制を整え、チーム全体の技術力も底上げできました」（伊藤氏）
6年間の運用で実感する柔軟性と信頼性
6年以上にわたる運用を経た現在でも、CCoEでは、Okta選定時に重視したクラウドサービスとの連携性の高さや複数のMFA、利用者自身で登録・変更できるセルフサービス機能、NTTドコモ独自の厳しいセキュリティ基準に標準機能で対応できる点も高く評価しています。
中でもセルフサービス機能は、利用規模が拡大した現在も大きな効果を発揮。2021年には約3万人の利用者に対して1日2～3件程度だった問い合わせは、約6万人に倍増した現在も1日数件に満たないといいます。また、セキュリティ面では、Okta VerifyやOkta FastPassによるパスワードレス認証に加え、Okta ThreatInsightによる不審なアクセスの検知・ブロックなどを活用。こうした機能によって、利用者の利便性を損なうことなく、セキュリティリスクを抑えた認証環境を維持しています。
「利用が拡大する中でも、これまでサインオンに関するインシデントは発生していません。我々自身の運用による部分もありますが、Oktaの堅牢なセキュリティ機能があるからこそ、これだけの規模でも安心して利用できていると感じており、その信頼性を高く評価しています」（保延氏）
今後は、開発用デバイスのセキュリティをさらに強化するとともに、プロビジョニングの対象をほかのサービスにも広げていく考えです。また、現在ADから取得しているグループ会社の社員情報についても、Entra IDに登録されている情報との同期に切り替えていくことを検討しています。
加えて、今後特に注目しているのが、AIエージェントを1つのアイデンティティとして管理し、各サービスやデータへのアクセス権限を制御できる「Okta for AI Agents」です。
「社内でもAIエージェントからさまざまなSaaSを利用したいというニーズが高まっています。今後は、誰が指示したAIエージェントなのかといった点も含め、安全に認証・認可できることが重要になります。その意味でも、AIエージェントとSaaSやAPIなどの接続先の間でアクセスを制御し、その接続を可視化・監査できる『Agent Gateway』には大きな期待を寄せています」（伊藤氏）
NTTドコモについて
1991年に設立された株式会社NTTドコモは、NTTグループの総合ICT事業を担う企業です。5G・LTEなどの携帯電話サービスや光ブロードバンドサービスなどを提供するコンシューマ通信事業に加え、動画・音楽・電子書籍・電気、ガスなどのコンテンツライフスタイルサービスやマーケティングソリューションも展開。法人向けには各種通信サービスのほか、クラウド、セキュリティ、AIなどを活用したICTサービスやソリューションを提供し、企業や自治体のDXを支援しています。2026年3月末時点の従業員数は9,876名、NTTドコモグループ全体では53,780名。「テクノロジーと人間力で新しいつながりを生み、心躍る価値創造で、世界を豊かに、幸せに。」というグループビジョンのもと、通信キャリアの枠を超え、新たな価値の創出に挑戦し続けています。
NTTドコモ ウェブサイト：https://www.docomo.ne.jp
