アイデンティティとアクセス管理（IAM）

IAMは、組織の技術的要素と管理的要素の両方を包含する。技術面では、IAMの中核的な構成要素には通常以下が含まれる： 

• アイデンティティ・データ。 これには、位置情報の詳細、アクセス権限、デバイス情報、資格情報などが含まれ、すべて一元管理されたデータベースに保存される。アイデンティティ・データに関しては、より少ないことはより多いことであり、組織はユーザーを正確に識別するために必要なものだけを収集すべきである。 
• 認証。 エンティティが本人であることを保証する手段。一般に、シングルサインオン（SSO）、多要素認証（MFA）、リスクベース認証（RBA）、行動認証、およびユーザー資格情報の組み合わせである。 
• 管理。 IAMには、ユーザーの権限、役割、特権の管理を容易にするツールが含まれる。 
• 監視。 IAMには、各エンティティの振る舞いを監視する手段と、追加の検証を強制する手段を含めるべきである。 

IAMの管理面には、以下のようなものがある：

• ポリシー。ポリシーは、事前に定義された一連の基準に基づいて、エンティティまたはロールにパーミッションを割り当てます。ポリシーはルールベースまたは動的のいずれかになります。 
• パーミッション。 基本的には、ユーザーが認証され、許可されたときに、何を見たり、何ができるかを示します。 
• ロール。 エンティティに適用される事前定義された権限のセット。  

IAMは長い歴史を持つテクノロジーであることに注意することが重要である。しかし、認証チャレンジやパスワードポリシーのようなレガシーなIAMコントロールは、今日のダイナミックなビジネス環境には適していない。現代のIAMはレガシーな装いを脱ぎ捨て、自動化、クラウド、ZTNA（Zero Trust Network Access）を取り入れている。 

高度なレベルでは、IAMは以下のタスクを果たす： 

識別。 ユーザーまたはエンティティは、その ID についてどのような主張を行うか。各エンティティとユーザは、IAM のもとで一意のクレデンシャルセットを割り当てられなければならないことに注意。  

認証。ユーザーまたはエンティティが本人であると主張するか。認証は、以下の要素を組み合わせることで行うことができる： 

• タイプ 1。パスワードや PIN などの暗記されたクレデンシャル。 
• タイプ2。デバイス ID やハードウェアトークンなどの物理的要因。
• タイプ3。バイオメトリクスまたは行動バイオメトリクス。 

権限。 ユーザーまたはエンティティの ID に基づいて、どのような特権または権限を付与する か。 

IAMの基礎となる考え方や概念がある。IAMツールの有効性は、通常、これらの領域や原則にどのように対処するかによって評価される： 

最小特権

ユーザーには必要なリソースへのアクセスのみが与えられ、収集されるIDデータは可能な限り最小化されるべきである。 

継続的認証

多要素認証とシングルサインオンを活用することに加えて、効果的なIAMツールは、ユーザーの活動を継続的に監視して検証し、ユーザーが本人であることを確認する必要がある。IAMツールは、オプションとしてリスクベース認証を活用することができる。 

継続的認証は、3 つの主要なカテゴリーに基づいてユーザーの身元を検証する： 

1. クレデンシャル 提供された認証情報は有効ですか？ユーザは初期認証に必要なデータをすべて正しく提供したか。
2. 行動。 ユーザーは確立されたベースラインと一致した行動を示すか？
3. 活動。 利用者は通常の職務または責任の範囲外で行動しているか。 

信頼ゼロ

IAMはZTNAと密接な関係にあり、このアプローチの中核をなすものである。どちらも、いかなるエンティティも暗黙のうちに信頼されるべきではないという考え方が前提となっている。ゼロ・トラストはまた、ネットワーク全体ではなく、個々のリソースへのアクセスを制限する。