セキュリティの
学び場

IAMとは

IAM（Identity and Access Management）とは適切なID管理とアクセス管理の考え方とその仕組みです。

ID管理とは、主体（例えばユーザ）の属性情報の管理を意味しています。属性情報とは、例えば会社員であれば所属している部署や役職などです。IDは最初に作成され、状況に応じて属性情報を更新し、そして不要になれば削除されます。アクセス管理とは、ID（属性情報）ごとのアクセス対象へ付与された権限の管理を意味しています。権限の具体的な例としては閲覧や更新、実行、削除などがあります。

IAM自体は目新しいものではありませんが、リモートワークや在宅勤務を企業が進めていく際にパブリッククラウドサービスの利用が増加してきたことで改めて注目をされています。

クラウドにおけるIAMの再注目

以前から多くの企業が社内のシステムやデータに対して適切なアクセス権限の付与を試みてきました。しかしそれらはIDに基づいたものではなく、物理的なアクセスであることを前提にしていた管理・制御体制になっていることも少なくありません。そのため、パブリッククラウド上のシステムやデータに対して以前のアクセス管理・制御体制をそのまま移行するだけでは適切だとは言えなくなってしまいました。

そこで企業の多くで、改めてパブリッククラウド上にあるシステムやデータに対するアクセス管理・制御体制の見直しが必要になりました。パブリッククラウドには不特定多数の人々がインターネットを通してアクセスできるという性質があります。このため、今まで以上にアクセス主体を正しく認証し、その主体のID（属性情報）を臨機応変に管理し、そのIDに基づいて対象へのアクセス権を適切に管理・制御することが必要になりました。このように、IAMという基本が安全への第一歩であると再認識されています。

IAMにおけるセキュリティ

IAMはサービス毎に設計思想や設定可能な項目に違いがあります。AWS/Azure/GCP等の代表的なクラウド基盤ではCISベンチマークなどのベストプラクティスが存在するため、それらを参考に管理することでIAMをセキュアな状態に保つ事が考えられます。IAMを含む設定を検証するサービスとしてはCSPMやクラウド診断・監視があります。

また、IDaaS(Identity as a Service)などにより、複数のサービスのIAMを横断的に集中管理することも一つの選択肢です。