企業のIT環境で扱うアイデンティティは、もはや「人」だけでは説明がつかなくなっています。従業員のアカウント管理に加え、SaaSの急増、AIエージェントの台頭、特権アカウントの増殖など、情報システム担当者が向き合うべき対象は年々広がり続けています。こうした課題に対し、Oktaは従業員向けアイデンティティ管理製品「Okta Workforce Identity」を通じて「統合アイデンティティ管理基盤」という考え方を掲げています。
SaaSの数だけ増え続ける管理負荷
「アイデンティティ」は、氏名や所属、権限、利用履歴といった属性の集合体を指す言葉で、単なる識別子であるID以上の広がりを持ちます。企業が向き合う課題も、ID単体の管理ではなく、このアイデンティティ全体に及んでいます。
課題の根本的な原因は、アイデンティティがあらゆる業務システムに点在している点にあります。SalesforceやZoom、Slackといったツールをひとつ契約するだけでも、ユーザー作成、ライセンス割り当て、権限・ロールの設定がそれぞれ必要になります。4月の新卒受け入れ、9月の期末に伴う部署異動など、人の異動でも同様にアイデンティティの調整作業が発生します。
こうした変更作業が適切だったかを問う監査対応も、重い負担です。マネジメントからの要請やコンプライアンス上の要求、情報漏洩などのインシデント対応は、結局「誰がどのリソースをいつ使ったか」「権限がいつ割り当てられたか」を即座に把握できるかどうかにかかっています。
定型・非定型の業務が入り混じり、優先度の高い割り込み対応も多いアイデンティティ管理は、計画を立てにくい領域になっています。
AIエージェントの台頭で急増する「非人間アイデンティティ」
ここ数年、非人間アイデンティティ（NHI：Non-Human Identity）が急増し、企業が管理すべきアイデンティティの種類はさらに広がっています。これまでのアイデンティティ管理は、新入社員のアカウント発行や異動者・退職者への対応など、基本的に「人」を中心に組み立てられてきました。しかしAIの普及によって、AIエージェントが人に代わって自律的に業務アプリケーションを操作する場面が現実のものになっています。Salesforce上の顧客対応レコードをAIエージェント自身の判断で書き換える、といったケースはすでに珍しくありません。
この変化とともに、AIエージェントが業務を代行するサービスアカウントや、サーバーの管理者権限・共有アカウントといった特権アカウントの管理が急務になっています。強力な権限を持つ特権アカウントが誰によって、いつ、どのリソースに対して使われ、誰の承認を経たのか──こうした履歴を把握できなければ、権限の乱用や漏えいは防げません。加えて、人と同じように静的な仕組みでNHIへ権限を割り当て続けていると、退職時の失効漏れや過剰な権限の放置が積み重なり、セキュリティリスクと運用負荷の両方を膨らませてしまいます。
個別最適化が招く構造的な非効率
SaaS管理や監査対応、NHIの権限管理といった課題に対し、市場には特権アカウント管理やガバナンス管理、SaaS管理、コスト管理など、用途別のソリューションが数多く存在します。専業ベンダーもそれぞれの分野で実績を積んでおり、個別の課題であれば十分に解決できます。
ただし、見落とされがちな点があります。どのソリューションを個別に導入しても、アイデンティティ管理そのものからは逃れられません。監査をするにも棚卸しをするにも、対象となる人やNHIのアイデンティティ情報を、新しいソリューションに持ち込む必要があるからです。つまり、課題解決のために導入したソリューションが、それ自体新たな管理対象を生み出してしまいます。ベンダーが異なればログの形式もばらばらになり、権限の過剰付与やライセンスの解除漏れを検知できても、実際の是正には別のアイデンティティ管理製品との連携が必要です。結果として、複数のソリューションの情報を突き合わせるために、また別のソリューションが要る、という構造に陥ります。
こうした非効率は、担当領域が細分化された大企業ほど顕著です。特権管理・ガバナンス・セキュリティ・認証がそれぞれ別の部署の管轄になり、部門ごとに異なるソリューションが個別に導入されているケースが実際に多く見られます。特に大企業では、サイロ化した現状に薄々気づいていても「自分の管轄ではない」という力学が働きがちです。ただし近年は、複数ソリューションを横断管理するのはもう限界だという現場の声が上がるケースも増えています。
用語の定義があいまいなまま進む製品選定
アイデンティティ管理を語るうえでもうひとつ厄介なのが、用語の定義そのものが曖昧である点です。「IAM」や「IdM」といった呼称はアイデンティティ管理を担う機能群の総称として使われますが、明確な定義があるわけではなく、企業によって解釈の幅があります。
一般的には、認証・認可、SSO（シングルサインオン）、MFA（多要素認証）といった認証まわりの機能が「IAM（Identity and Access Management）」、ユーザー管理や属性マッピング、ID源泉との統合が「IdM（Identity Management）」、自動プロビジョニングやライフサイクル管理、ロール・権限管理、アクセス権の棚卸し、アクセス申請フロー、監査レポート・分析が「IGA（Identity Governance and Administration）」と整理されます。ですが、これらの機能群は互いに重なり合う部分が多く、どの製品がどこまでをカバーするのかは製品によって差があります。
Oktaが掲げる「統合アイデンティティ管理基盤」という考え方
用語の定義や提供領域の解釈が製品ごとに揺れる中で、Okta Workforce Identityの核にあるのが「統合アイデンティティ管理基盤」というコンセプトです。ここでの「統合」には2つの意味があります。主体の統合と、機能の統合です。
管理する主体の統合では、従業員向けの認証基盤という説明がよく使われますが、この「従業員」には正社員だけでなく契約社員、パートナー、アルバイト、協力会社、さらには顧客まで含まれます。加えて、特権ユーザーのようなNHIや、自律的に動くAIエージェントもひとつのアイデンティティとして扱います。
機能の統合では、Okta Workforce Identityはガバナンス、ポスチャ管理、特権管理、アクセス管理、脅威保護という機能群を、クラウドSaaS・オンプレミスアプリケーション・API・オンプレミスサーバー群といったあらゆるリソースに対してひとつの基盤から提供します。あらゆるアイデンティティをひとつの基盤で横断的に管理・保護するというのが、製品の根幹に据えている考え方です。
各機能に特化した専業製品は市場に数多く存在し、Oktaと組み合わせて使われているケースも国内外に一定数あります。ですが、Oktaと他社ソリューションを組み合わせた場合、それが運用上問題なく機能するか、ユーザーのライフサイクルを適正に管理できるかという担保は、最終的には導入企業自身の責任で確保することになります。
ワンプラットフォームで機能を横断的に提供するアプローチは、製品同士の接続性を担保するためのコストを不要にする点や、アクセス管理のログと特権管理のログを一元管理できる点に、最大の価値があると位置づけています。
「認証前」「認証時」「認証後」で守るという発想
Oktaはもともとシングルサインオンから事業を始めており、「アクセス管理の会社」「多要素認証の会社」という印象を持たれることが多くあります。実際、認証時にどのような条件を課すかという細かさは強みになっており、既存顧客に対しても認証トレンドに応じた機能追加を継続的に行っています。
ただし、「認証時の瞬間さえ厳格にしておけばよい」という発想では、もはや守りきれない時代になっています。ログイン後のセッションは、Cookieという形で状態が保持されます。認証が強くなった分、攻撃者はログイン後のセッションを狙うようになっています。Oktaはこの課題に対して、保護の対象を「認証前」「認証時」「認証後」の3段階に広げています。
「認証前」は、権限やアクセスポリシーの設定に不備がないかを継続的に検知して修正します。設定対象の数が多く例外対応も発生しやすいため、不備や抜け漏れはどうしてもゼロになりません。そこを攻撃者は狙ってきます。
「認証時」は、Okta Verifyを用いたパスワードレス認証のOkta FastPassをはじめ、アクセス元のIPアドレスや位置情報、端末の状態、リスクスコアを算出してアクセスの可否を決めるAdaptive MFA（適応型多要素認証）などの機能を主に利用します。
「認証後」は、セッションを継続的に監視し、異常があればセッションを強制終了してアイデンティティ保護と修正プロセスを起動します。ログイン後もセッションが生きている間はずっと監視対象になる、という発想です。
Oktaを導入する企業の多くは、「認証時」の対策から利用を始めます。その後、「認証前」や「認証後」の機能を追加することになった場合も、新たなシステム導入の手間なく同じ管理画面で対応できます。他社ソリューションの検討に長い時間をかけた末、結果的にOktaの既存機能で実現できたという結論に至る企業も少なくありません。
拡大し続けるアイデンティティ管理の範囲
Oktaはこの「統合アイデンティティ管理基盤」というコンセプトのもと、「認証前」「認証時」「認証後」で対象となるアイデンティティ管理の範囲を継続的に広げています。直近では、AIエージェント向けのシングルサインオン「Agent SSO」に対応したことを発表したほか、AIエージェントの脅威検出などに強みを持つPermiso Securityも買収しており、今後さらなる機能統合を予定しています。人、NHI、AIエージェントという主体を横断的に扱うというアプローチは、今後さらに重要性を増していくことになります。
