ADのホットな活用方法とは?クラウド/モバイル利用の普及により、IDをいかに適切に管理し、セキュリティやガバナンスを維持していくかが、企業の大きな課題となっている。Directory」を提供。Directoryでどのように改善されていくのだろうか。山下哲平氏クラウドやモバイルの利用が加速する現在、セキュリティやコンプライアンスに対する“新しい考え方”が必要になってきた。クラウドやモバイルは、こうした境界を簡単に超える。Service)を利用する場合、社内システムを守ってきたファイアウォールやDMZ/VPNは、ほとんど意味がなくなってしまうからだ。そこで、重要になってきたのが、「ID(Identity)をベースとしたセキュリティ」だ。IDはOSやアプリケーションを利用する際の入り口であり、どのように業務を行っているかまで追跡することができる。IDをセキュリティ対策の中心に据えることで、企業全体のセキュリティを同じポリシーで統制し、重要なシステムやデータを保護することができるようになるわけだ。課題もないわけではない。最大の課題は、クラウドやモバイルの利用が増えるにつれ、利用するIDの数も増えていくこと。SaaSが加わってくると、それぞれのアカウントのID/パスワードの管理がユーザーにとって大きな負担になっていく。結果として、パスワードをメモで残したり、同じパスワードを使い回したりして、セキュリティリスクを増加させることにもつながることが少なくない。対応コストも大きな課題となる。IDが増えると、当然、IT管理者の作業負荷も増える。中でも、ユーザーがパスワードを忘れた際の「パスワードリセット」や「アカウントロック」への対応作業は大きな負荷となる。パスワードリセットにかかるコストは、1件当たりおよそ数千円(10〜70ドル)ともいわれている。パスワードリセット中はユーザーの業務がストップすることや、メールアカウントが使えないため、周囲の同僚に連絡窓口になってもらったりといった手間も発生する。それらを含めると、ID/パスワードの管理は、年間で数百万円から数千万円のコスト負担にもなるという。この他、実際にどのようにしてIDを作成しユーザーに付与していくか、ユーザーのログをどう可視化していくか、取引先とコラボレーションする際にIDをどう管理するかといったことも課題になる。した中、注目を集めているのが「クラウドでIDを管理する」という新たなアプローチだ。AD)」は、クラウドIDセキュリティの中核機能を提供する認証基盤として導入が急速に進んでいる。米マイクロソフトのID製品開発部門でシニアプログラムマネージャーを務める山下哲平氏は、次のように話す。効率的に、そして、セキュアに運用するニーズが非常に高まってきました。ADの機能を継続的に強化することでIDをベースとしたセキュリティの仕組みを企業がスムーズに確立できるような取り組みを進めています。ADは、クラウドベースのディレクトリおよびID管理サービスだ。Authentication:MFA)、ロールベースのアクセス制御、アプリケーション使用状況の監視、各種監査など、豊富な機能を備える。これらの多彩な機能の中でも、顧客の間で最も多く利用されているのが「セルフサービスのパスワードリセット」だと山下氏は説明する。セルフサービスのパスワードリセットは、IT担当者の力を借りずに、忘れてしまったパスワードをユーザーが自分自身で再設定できる機能だ。山下氏は、セルフサービスのパスワードリセットの導入効果として、社員10万人規模のA顧客が年間80万ドル(約9千万円)もコストを削減したケースを紹介してくれた。「このお客さまでは、1週間に1400件程度、パスワードリセットの作業要求があったそうです。このお客さまでは、ヘルプデスク業務をアウトソーシングしており、1件当たりの作業対応コストは約10ドルかかっていました。ADでセルフサービスのパスワードリセットとアカウントロック解除対応をすることで、パスワードリセットにかかわるコストを削減したのです」(山下氏)パスワードのリセットという一見単純な作業でも、積み上げてみると大きなコストとなり、業務効率を低下させる要因になっているのだ。セルフサービスでパスワードリセットの仕組みを自社で構築・運用している企業も、それにかかっているコストを再度見直してみるといいかもしれない。ADユーザーの間でも誤解されている点が多いと山下氏は続ける。ADへパスワード同期をしていないフェデレーション環境でも、パスワードリセットが可能ということだ。ADを連携し、パスワード同期はしていない、というお客さまは多いです。AD上にパスワードを保存していないため、セルフサービスのパスワードリセット機能は使えないと思われがちですが、実際には利用できます。ADで次に利用が多いのが、シングルサインオン環境の構築だ。シングルサインオンは、営業支援の「Salesforce」やファイル管理の「Box」、名刺管理の「Sansan」、経費精算の「Concur」、人事管理の「Workday」、サービス管理の「ServiceNow」、その他自社開発アプリといったさまざまなSaaSに対し、1つのIDでログインできるようにする機能だ。ADではセキュリティやガバナンスを強化することができる。軽減」の3つを挙げる。365」に統合されたアプリケーションランチャーが提供されることがポイントだ。「セキュリティ/ガバナンス強化」の面では、MFA、条件付きアクセス、レポート機能といったユニークな機能が提供されている。「運用管理負荷の軽減」については、IDの自動プロビジョニング機能やセルフサービスのグループ管理などにより、IT担当者の負荷を軽減する。FSなどのフェデレーションサービスと連携させるのが主流でした。ADと連携させることをお勧めしています。ADでは2700以上の連携テスト済みのアプリケーションが『ギャラリー』に公開されているので、ウィザードに従って連携設定が可能です。FSのクレームルールのようなアクセス許可ポリシーを複雑な構文を使わずにシンプルに管理できるようになってきています。条件付きアクセスは、ユーザー属性、場所、アプリ、デバイスなど利用者の利用条件に応じてアクセス許可ポリシーを構成する機能で、例えば社外からBoxへアクセスする場合はMFAを強制し、ワンタイムパスワードを入力しなければログインできないようにするといった運用も可能になる。Proxy」でDMZ/VPNを廃止、ハイブリッド認証環境の監視もシングルサインオン環境をさらに進め、DMZやVPNを廃止する企業まで出始めている。Proxy)」と呼ばれる機能で実現できる。Proxyは、社内でホストされているWebアプリケーションへのリモートアクセス機能を提供するサービスだ。DMZやVPNの運用は、IT部門にとっては大きな負荷となる。新しいアプリケーションの追加、削除などに応じて、アクセス権リストの管理や証明書の管理、そして外部からの攻撃に対する防御施策を徹底していく必要がある。部門や部署など拠点が増えれば、それだけ管理負荷も高まる。そこで、ファイアウォールやプロキシ機能そのものをクラウドに移行し、集中管理と業務効率化を図るというわけだ。Proxyの技術的な概念は全く新しいため、セキュリティ面での大きなメリットがまだ広く知られていないようだ。Proxyを利用するには、ファイアウォールの受信ポートの開放は不要です。コネクターはDMZではなく社内ネットワークに配置します。DMZやVPNと大きく異なる点としてファイアウォールに穴が開いていないため、攻撃される部分が一切無くなるのです」と山下氏。Proxy)の仕組み《クリックで拡大します》さまざまなアプリケーションへの入り口となる認証基盤が利用できなくなることは、企業活動に多大な影響を及ぼしかねない。Healthを利用すると、認証基盤そのものを監視することができる。365などを利用する企業が増えているが、その場合に盲点となるのが認証基盤が“全体”として適切に稼働しているかどうかだ。Healthを利用することで、誰がログインしているか、認証サーバは正常に稼働しているか、負荷はどうかなどを1つの画面から把握できるようになる。「フェデレーション環境で認証基盤を稼働している企業は少なくありません。その場合、認証基盤の構成要素が多くなりがちですが、それを一元的に監視して可用性を担保することが重要です。ADでは、IDセキュリティに関して、さらに先進的な機能も提供されている。ADが提供するIDセキュリティの機能だが、機械学習を使って、自動的に不正アクセスを検知し、さらに対処まで行うことができる。セキュリティ管理者は、自ら手を動かし、分析しなくても脅威に対応できてしまうのだ。Ignite』のセッションでは、ある大学における事例が紹介されました。このケースでは、攻撃が開始されてから3時間ほどで、機械学習で判断された不正アクセスを自動的にブロックし始めました。Live」などのID基盤となっているマイクロソフトアカウントの運用実績だ。現在、マイクロソフトは毎日140億回以上のログイン要求を処理し、150万もの不正アクセスをブロックしている。このログなどは1日当たり10TB(テラバイト)を超え、その膨大なデータを分析することで不審な動きを素早く、そして高い精度でキャッチできるようになっているのだ。「大規模なコンシューマーサービスで得たノウハウや知見を企業向けサービスへ横展開できることは、マイクロソフトならではの大きな強みです。不正アクセス検知の精度向上には、漏えいしたID、マルウェアに感染したデバイスのIPアドレス、不正アクセスのパターンなどといった多くのデータが必要不可欠です。B2Bコラボレーション」を挙げる。Directoryドメインサービスは2016年10月に正式リリースされたSaaS型のドメインコントローラーだ。Directoryを認証基盤とするアプリケーション(例えば、SharePoint)をAzure上の仮想マシンで稼働させる場合は、仮想マシン上でドメインコントローラーも用意して運用せざるを得ないケースが多かった。ドメインサービスを使うことで、マイクロソフトが管理するドメインコントローラーをサービスとして利用できるようになった。今後、オンプレミス資産のクラウド移行が加速されると期待が高まっている。B2Bコラボレーションは、2017年上半期にリリースが予定されている機能だ。B2Bコラボレーションを利用すると、例えば、自社で利用しているSalesforceに社外のパートナーをログインさせ、そこでコラボレーションできるようになる。この仕組みならではのユニークなポイントは、認証やID管理(パスワード管理、退社時の無効化等)は相手企業を信頼して任せ、自社はアクセス許可(誰がどのリソースにアクセスして良いか)を管理するというモデルだ。ADを使っていなくてもよいという点は、利用障壁を低くする大きな要因の1つになりそうだ。Protection、ドメインサービス、B2Bコラボレーションの3つの機能は、セキュリティ強化と生産性向上に大いに役立つものです。実際、プレビューの段階から欧米の先進的な企業を中心に採用が活発化しています。Licensing」に注目してほしいと強調する。FSなしで、オンプレミスのドメインコントローラーで認証する新しい認証方法だ。パスワードをクラウドに保存したくないというニーズや、フェデレーションサーバを管理するのが面倒だというニーズにこたえることができる。Licensingは、マイクロソフトのクラウドサービスのライセンス管理機能だ。365ではさまざまなアプリケーションや機能が提供されているが、特定のグループに特定のアプリケーションのライセンスをまとめて適用するにはPowerShellスクリプトを使うなど、管理に手間がかかっていた。Onlineはオフにしたい」といったような粒度でライセンス割り当て管理が可能になるのだ。クラウドやモバイルが普及する中、IDをいかに適切に管理し、企業のセキュリティやガバナンスを維持していくかは大きな課題になってきた。ADは、そのようなIDをベースとしたセキュリティにおいても、重要な基盤を提供するものだ。Protectionによる自動対応まで、セキュリティの対策の要になるといっても過言ではない。山下氏のいうように、このタイミングでもういちど、自社のID管理とIDセキュリティを見直してみることが求められるだろう。メールマガジンをご購読ください。申し込みページへ利用規約ITmediaはアイティメディア株式会社の登録商標です。