今日の企業環境において、アイデンティティ管理の対象はもはや「人間」だけではありません。DXの進展に伴い、サービスを管理するためのアカウントや自動化ツールのアカウントなど、「非人間アイデンティティ（NHI：Non-Human Identity）」が爆発的に増加しています。また最近では、人間に代わって複雑なタスクをこなすAIエージェントの導入も進んでいます。AIエージェントは、広範で長期的な権限を持つ複数のNHIを使用するので、これらをいかに安全に管理するかがIT管理担当者にとって避けて通れない課題となっています。
増加するアイデンティティと運用課題
従来、Oktaが主に扱ってきたのは従業員のアイデンティティのアクセス管理（IAM）が中心でした。それが現在は、特権ユーザー、契約社員、ビジネスパートナー、そして顧客まで、管理すべきアイデンティティが増え続けています。これらを守るために、パスワード、OTP（ワンタイムパスワード）、生体認証、それらを複数組み合わせた多要素認証と、さまざまな手段が用いられてきましたが、これらは基本的に「人間」を前提とした仕組みです。
それが近年では、新たに非人間アイデンティティ（NHI）のことも考慮しなくてはならなくなりました。NHIのひとつが、自動化ツールやAPI連携などに用いられるアカウントです。これらは以前から存在していましたが、自動化の拡大に伴いその数が爆発的に増えています。こうしたアカウントは多要素認証が使えないため、人間向けのセキュリティ対策が通用しないという問題があります。
また、AIエージェントは、人間の代わりにメールを確認したり、ファイルを参照してSlackでメッセージを送ったりと、人間と同じように企業リソースへアクセスする存在となっています。AIエージェントが人間と同じアイデンティティを使って同じリソースにアクセスしたり、複数のNHIを使用するケースもあるため、人間と非人間の特性を併せ持つ存在でもあります。
AIエージェントはここ数年で急速に高度化し、日本企業でも普及が進んでいます。今後も増加が見込まれるため、人間、AIエージェント、NHIすべてを含めた統合的なアイデンティティ管理が不可欠になっています。これこそが、企業が今まさに直面している大きな運用課題のひとつです。
狙われるNHI
ここから、NHIにフォーカスして、NHIの管理がなぜ重要なのか解説します。AIエージェントの管理の重要性については次回改めてご説明します。
NHIの中には、SaaSの管理者アカウントやサーバーの特権アカウントなど、企業のIT運用に欠かせないアカウントも含まれます。これらのアカウントは、従来のIDaaSのようなユーザー管理基盤の対象には基本的に含まれません。IDaaSが管理するのはあくまで人間のユーザーであり、特権的な管理アカウントは別領域に存在するためです。緊急用アカウントや情報システム部門が利用する共有アカウントなども同様で、通常のアクセス制御とは切り離されています。
これらのアカウントは特定の個人に紐づいていないケースが多く、複数人のチームで1つのアカウントを使うことも一般的です。個人に紐づかないということは、生体認証やパスキーのような個人認証が使えず、複数人が同じ資格情報を共有し、IDとパスワードといった静的な情報でログインするしかありません。共有アカウントや自動化アカウントは、企業が効率的に業務を進めるにあたって必要な仕組みであり、完全に排除することはできません。
ただし、このようなアカウントは、資格情報が漏えいすると高い権限を悪用され、重大な被害につながるリスクがあります。管理アカウントが乗っ取られれば、設定変更からデータ閲覧まであらゆる操作が可能です。実際、企業が自動化ツールで使用していた固定IDとパスワードが漏えいし、攻撃者が侵入して重要な情報を盗み出すという事例も発生しています。
人間のアカウントは認証技術の進化で攻撃が難しくなっていることからも、攻撃者がNHIを狙うケースが増えています。しかし企業はNHIを手放すことができず、利便性と高リスクが常に共存する状態で運用せざるを得ないのが現状です。
NHIの安全な管理方法
Oktaでは、NHIのリスクを最小限に抑えつつメリットを享受できる管理方法として、「可視化」、「制御」、「ガバナンス」という3つのステップを提唱しています。
まず「可視化」は、企業内に存在するNHIをすべて把握することから始まります。サービスアカウントやAPIによる自動化など、システム間連携の裏側には多数のNHIが存在しますが、その多くは日常の運用では見えにくいものです。見えないものは守れないため、まずは組織内にどれだけのNHIが存在し、どのように使われているのかを把握しなくてはなりません。
次に、可視化したNHIを適切に「制御」します。多くのNHIは固定されたIDとパスワードを使い回す運用になりがちですが、リスクを抑えるにはパスワードを定期的に変更し、情報が漏えいしてもすぐに無効化できる状態を保たなくてはなりません。また、パスワードやキーは厳重に保護された領域に格納し、多要素認証を通過した限られた担当者だけが閲覧できる仕組みを用意することも重要です。さらに、NHIが操作できる範囲を必要最小限に絞り、人間の特権管理と同様にアクセス権限を細かく制御することで、万が一の被害を最小化できます。
最後のステップである「ガバナンス」は、可視化と制御を継続的に行いながら、不要なNHIを積極的に棚卸ししていく取り組みです。長期間使われていないアカウントや存在意義が曖昧になったアカウントを放置すると、攻撃者に悪用されるリスクが高まります。パスワードをローテーションしているから安全というわけではなく、不要なものは削除し、環境を常に健全な状態に保つことが求められます。
これらのステップは一度実施すれば終わりではなく、継続的に繰り返す必要があります。今日可視化した内容が、翌日にはすでに変化している可能性もあるため、定期的に状況を確認し、制御とガバナンスを適切に働かせることが不可欠です。Oktaはこの3段階のアプローチこそが、NHIを安全に管理し続けるための現実的で効果的な方法だと考えています。
NHI管理のためのソリューション
NHIを安全に運用する具体的なソリューションとしては、まずポスチャ管理で組織の状態を把握し、次に特権アクセス管理（PAM）による制御、そして最後に棚卸しを含むガバナンス管理（IGA）を組み合わせて運用していきます。
管理の際には、同じアイデンティティを複数の機能で扱う必要があるため、ツール間の密接な連携が不可欠です。ただ、多くの企業では用途ごとに異なる製品を組み合わせて運用しているため、学習コストの増大や機能の重複が発生しているほか、連携不足による自動化の限界などによって大きな負担が生じています。Oktaはこうした問題を解消するため、アイデンティティを一元管理し、各機能が連動して対応できる仕組みが必要だと考えています。
このアプローチをOktaでは「Identity security fabric」と呼んでいます。多様なアイデンティティを安全に扱うために必要な機能を、布（Fabric）を織るように統合して連携させ、最初からひとつの基盤として提供する考えです。このアプローチのもとで開発したのがOkta Platformです。Okta Platformでは、あらゆるアイデンティティを最初から最後まで管理することを前提に、アクセス管理（IAM）、ガバナンス（IGA）、特権管理（PAM）、ポスチャ管理（ISPM）、脅威保護（ITDR）といった主要領域をすべてカバーしています。
具体例として、組織内に誰も把握していないサービスアカウントがあるとしましょう。Oktaのポスチャ管理サービスであるOkta Identity Security Posture Management（Okta ISPM）を使えば、そのようなアカウントも検知できます。検知したアカウントはOktaのディレクトリであるUniversal Directoryに登録し、オーナーを紐づけて管理対象に含めます。その後、特権管理機能を持つOkta Privileged Accessでパスワードやキーを保護し、自動ローテーションによって漏えいリスクを最小化します。
また、アカウントの棚卸しによってそのアカウントが本当に必要かどうかをオーナーに確認し、不要であれば削除します。AIエージェントが関与する場合も、Oktaであれば人間、NHI、AIエージェントを一元管理できるため、責任の所在を明確にできます。さらに、Oktaはコンプライアンス準拠状況を継続的に評価する仕組みも備えています。これらすべてが密に連携して動作するのは、Identity security fabricというアプローチの成果といえるでしょう。
複雑化するアイデンティティ環境において、人間、NHI、AIエージェントを問わずすべてを一元的に管理し、制御し、ガバナンスを効かせることが求められています。Oktaの提供するプラットフォームは、その一連の流れを安全かつ効率的に実現する基盤となっています。
今回は、爆発的に増加するNHIの管理に焦点を当てました。しかし、これからのアイデンティティ管理において、NHIと同様、あるいはそれ以上に複雑な課題となるのが「AIエージェント」の存在です。次回は、人間のように振る舞い、自律的に動くAIエージェントをどのように制御し、安全に組織へ受け入れていくべきか。その具体的な管理手法について詳しく解説します。
