セキュリティ編 第4章 / 全13章
IDと権限の管理とは
IAM ・ SSO ・ 最小権限
誰が、何を、いつまで会社のICカード。部署によって入れる部屋が違い、退職したらその日にカードを止める。全員に全部屋の鍵を渡したりはしない。
図とさわれるデモで確かめる →
ポイント
- 社員のIDを1か所（IdP）で管理し、1回のログインで各システムを使えるようにする（SSO）
- 権限は、仕事に必要な分だけ渡す（最小権限）
- 入社・異動・退職に合わせて、IDと権限をすぐ変える。特に退職者のIDは即日止める
名前の由来
identity身元（ラテン語 idem：同じもの）access近づくことmanagement管理
IAM：「その人が本人か」と「何に近づいてよいか」を管理すること。
仕事の現場では
サービスごとに別々のIDを作っていると、退職者のIDの止め忘れが必ず起きます。Microsoft Entra ID や Google Workspace、Okta などのIdPにまとめると、1か所止めるだけで済みます。
くわしく（正確な話）
- 本人確認が認証、何をしてよいかを決めるのが認可。
- 管理者権限などの強い権限を特権IDと呼び、使う人と時間を絞って記録を残す。
- 部署や役割ごとに権限をまとめて渡すやり方を、ロールベースの権限管理（RBAC）と呼ぶ。
- 定期的に「その権限はまだ必要か」を見直す（棚卸し）。
この章の用語（意味と語源）
- ID管理（IAM） Identity and Access Management
利用者のIDと、何に近づいてよいか（権限）を管理すること。
覚えておく：誰が / 何を / いつまで
語源identity はラテン語 idem（同じもの）、access は accedere（近づく）から。
- IdP（Entra ID / Okta） Identity Provider
社員のIDを1か所で管理し、各システムに本人確認の結果を渡す仕組み。
Microsoft Entra ID（旧 Azure Active Directory）・Google Workspace・Okta などがあります。
語源Identity Provider（身元を提供する者）の頭文字。Okta は気象用語で、空を8つに分けて雲の量を表す単位。
- SSO（シングルサインオン） Single Sign-On
1回のログインで、複数のシステムを使えるようにする仕組み。
語源single（1回の）+ sign on（ログインする）。
- 認証 / 認可 Authentication / Authorization
本人かどうかを確かめること／その人に何をしてよいかを決めること。
語源authentication はギリシャ語 authentikos（本物の）、authorization は author（権限を持つ人）から。
- 最小権限 Least Privilege
仕事に必要な分だけの権限を渡すという原則。
乗っ取られたり、内部の人が悪用したりしたときの被害を小さくできます。
語源least（最も少ない）+ privilege（特権。ラテン語 privus「個人の」+ lex「法」）。
- 特権ID / 管理者権限 Privileged Account
システムの設定変更などができる、強い権限を持つID。
使う人と時間を絞り、操作の記録を残します。普段の作業では使いません。
語源privilege（特権）+ ID（identification：身元を示すもの）。