非人間 ID とは?

非人間 ID にはさまざまな種類があり、組織における作成、使用、管理の方法は種類ごとに異なります。どの種類にも特定の具体的な用途がありますが、ソフトウェア システムによるリソース アクセスを人間の関与なしで安全に行えるよう設計されている点は共通です。

よく使われる種類のいくつかについて、以下で説明します。

1. サービス アカウントは、アプリケーションやサービスにシステムとのやり取りを行わせるために手作業で作成されるアカウントであり、頻繁に使われます。用途としては以下のようなものがあります。
 

• バックグラウンド タスクや自動化ジョブを実行する。
• ファイルやデータベースにアクセスする。
• 異なるシステム間のサービスを結び付ける。

サービス アカウントは多くの組織において日常的なシステム作業の処理に利用されていますが、管理が適切でないと、システム上の実際はアクセスする必要がない部分までアクセス可能になっている場合があります。これはセキュリティ リスクの増大につながります。

2. マネージド ID では、クラウド プラットフォームによって自動的に作成と管理が行われ、どのソフトウェアにアクセスできるかを簡単に制御できます。個々の ID は特定のシステムまたはサービスに紐付けられ、必要な期間に限り存続します。したがって開発者がユーザー名やパスワードを手作業で管理する必要はないため、漏洩の可能性が小さく、セキュリティを改善できます。以下の用途によく使われます。
 

• クラウド サービスに対する認証を、パスワード、API キー、アクセス トークンなどの秘密を保存することなく安全に行う。
• アクセス許可の割り当てを、ロールに基づいて最小限の設定で行う。
• クラウド環境の成長に応じてソフトウェア ID をより効率的に管理する。

マネージド ID を利用することは、アクセスをシンプル化し、資格情報管理の負担を減らし、ソフトウェアに必要以上のアクセス権を与えるリスクを低減するために役立ちます。

3. サービス プリンシパルは、アプリケーションやサービスによるクラウド リソースへのアクセスに使われるセキュリティ ID です。ID プラットフォーム内ではアプリケーションの ID として機能します。これは以下の用途に広く使われています。
 

• 自動化とタスクのスクリプト処理。
• ビルド、テスト、展開のワークフロー。
• クラウド サービスとサード パーティ ツールとの接続。

サービス プリンシパルでは、どのソフトウェアにアクセス権を与えるかを柔軟かつ緻密に管理できますが、悪用を防いでシステムのセキュリティを保つには、緊密な監視が必要です。

4. AI エージェントは、新たに登場した種類の非人間 ID です。エージェント型 AI によって駆動される AI エージェントは自律的で動的な非人間 ID であり、推論、委任や、複数のシステムをまたいだ行動を、人間の直接的な関与なしに実行できます。AI エージェントには、従来の NHI とは異なる以下のような特徴があります。
 

• オンデマンドで作成され、複数のドメインをまたいで使うことができます。
• 臨時の資格情報やコンテキストベースの資格情報を使って API、データベース、サービスにアクセスできます。
• タスクについての推論を行い、ロールを切り替える (時にはシステム エージェントとして振る舞い、時にはユーザーの行動を代行する) ことができます。

OAuth や SAML のような従来型 ID フレームワークは、人間の ID やマシン ID の静的な性質を前提にして設計されているため、AI エージェントの動的なライフサイクルに対応しにくいことがあります。AI エージェントの利用を考える場合、非人間 ID の管理戦略に以下のような新しい要件を加える必要があります。
 

• 臨時の資格情報: 自動的に失効する短命な資格情報の取り扱い。
• リアルタイムのポリシー評価: 最小特権アクセスを動的に付与する必要があるため。
• 結果責任と監査可能性: エージェントの自律的行動に関する責任の帰属先を明確にするため。
• 人間による監督: 機密性のタスクや高リスクのタスクをエージェントが実行する場合のため。

扱い方が適切でないと、AI エージェントによって管理外の ID が多数生成され、資格情報の無計画な拡散、特権の増殖、セキュリティ上の盲点の発生を招くことになりかねません。

組織においてソフトウェアベースのツールやサービスの利用が増えるにつれ、非人間 ID の数は増え続けており、それらをスマートに管理する方法の必要性も高まっています。慎重な監視をせずに運用すると、非人間 ID はセキュリティ上の未知の欠陥になり得ます。特に、それらによるアクセスが過剰に多い場合、監視対象から外れた場合、不要になった後もアクティブな状態で存続している場合は大きなリスクがあります。適切に管理することは、リスクを減らし、可視性を高め、システムの保護を維持するために役立ちます。

管理において行うこと

非人間 ID の管理においては、アプリケーション、ツール、ボット、その他の自動化システムに属する ID について、発見、整理、保護、監視を行う必要があります。具体的には以下のような事柄です。
 

• ID の作成時には、安全性の高い命名規則とアクセス規則を適用する。
• ロールとアクセス許可の割り当ては、個々のシステムの必要性に応じて行う。
• トークン、鍵、証明書など、資格情報のセキュリティを確保する。
• 使用状況の監査を行い、異常な挙動や特権の悪用を検出する。
• 使われていない ID や期限切れの ID は、自動的に削除されるようにする。

これが重要である理由

組織では、ID アクセス管理 (IAM) システムのようなツールを活用して、セキュリティ チームに人間の ID と非人間 ID を一元的に管理する手段を提供してください。

IAM システムでは、非人間 ID について以下の管理策を適用できます。
 

• 可視性: どのシステムが何のリソースにアクセスしているかを明らかにするため。
• ポリシー ベースのアクセス制御: 最小特権のアクセス許可を適用するため。
• ライフサイクル自動化: メンテナンスの手作業を減らすため。
• 監視とログ記録: 悪用やリスクの高い挙動を検出するため。
• 資格情報のローテーションと保管: 保護を強化するため。

これらのツールは、セキュリティ チームと IT チームにとって、非人間 ID の運用が所定の枠内で安全に行われる状態を維持し、ひいてはコンプライアンス、可視性、制御の不備を生まないようにするために役立ちます。

運用のベスト プラクティス

非人間 ID の管理を効果的に行うには、セキュリティ、自動化、可視性をバランスよく両立することが必須です。以下で紹介するベスト プラクティスは、リスクを減らし、ID の無計画な拡散を防ぎ、システムの保護を維持しながら成長に対応していくために役立ちます。

1. 最小特権アクセスを適用する。個々の ID に、その ID にとって必要なアクセス許可のみを付与し、それ以外は付与しないようにします。広範なアクセス権や管理者レベルのアクセス権を付与することはできるだけ避けます。これは、ID が侵害された場合の影響を最小限に抑えるためです。

2. ライフサイクル管理を自動化する。ID ツールを利用して、非人間 ID の作成、ローテーション、削除を自動的に行います。ID に、その ID によってサポートされるタスクやサービスのライフサイクルを結びつけることで、使われなくなったアカウントが環境内に残ることを防ぎます。

3. できるだけマネージド ID を使う。クラウド環境において、マネージド ID では安全なアクセスやパスワード更新の管理が自動的に行われます。したがって、パスワードやアクセス キーのような機密情報をコード内に保存する必要はなくなります。

4. 可視性と制御を集中化する。すべての非人間的 ID の追跡管理を、集中化された IAM システムを通じて行います。クラウド、オンプレミス、ハイブリッド環境を含めた横断的な可視性によって、不使用の ID、構成の誤りがある ID、リスクの高い ID を発見しやすくなります。

5. 資格情報のセキュリティを確保する。パスワード、アクセス キー、セキュリティ証明書などの機密情報は、安全なストレージ システムに保管し、アプリケーション コードや設定ファイルには含めないようにします。定期的に更新し、異常なアクティビティに注意します。

6. アクティビティの監視と監査を行う。ログとアラートを設定して、非人間 ID の使用状況を追跡把握します。通常とは異なる過剰なアクセス試行や、悪用の兆候かもしれない想定外の挙動を見つけます。

7. レビューとクリーンアップを定期的に実施する。スケジュールを設定して、非人間 ID とそのアクセス許可を定期的にレビューします。使われていない ID を削除し、必要以上に範囲が広いアクセス権については対象を狭め、環境の正常性とセキュリティを保ちます。

これらのベスト プラクティスを組織で実践することは、ID 関連のリスクに予防的な対策を講じつつ、安心して自動化やイノベーションをサポートするために役立ちます。

得られる効果
 

• 見落とされがちなアクセス ポイントを制限することで、セキュリティが強化されます。
• 誰がどのシステムへのアクセス権を持っているかを追跡把握しやすいため、監査とコンプライアンス確保が容易になります。
• アクセス許可の適切な管理が維持され、アクセス権の誤りや乱用の可能性が小さくなります。
• ID のセットアップ、監視、クリーンアップが自動化され、効率が改善されます。

適切なシステムと慣行によって行えば、非人間 ID の管理は、セキュリティを強化しつつモダンな IT 運用のスピードと規模をサポートできるチャンスをもたらします。

クラウドと結びついた現代世界におけるアクセス管理には、従来型 ID ツールの枠を超えたしくみが必要です。Microsoft の ID およびアクセス管理ソリューションは、組織において、接続元の場所や使用テクノロジを問わずユーザー、デバイス、アプリケーション、自動化サービスを保護するために役立ちます。

Microsoft Entra の ID およびネットワーク アクセス管理ソリューションは、攻撃の予防、最小特権アクセスの確実な適用、ユーザー エクスペリエンスの改善を実現しつつ、リソースへの安全なアクセスを提供するように設計されています。Microsoft Entra ID、Microsoft Entra ID ガバナンス、Microsoft Entra 外部 ID、Microsoft Entra ワークロード ID などのツールは、非人間 ID の管理を明確に想定して構築されています。

包括的なアクセス管理ソリューションである Microsoft Entra は、オンプレミスとクラウド環境を含めた全体の中で、従業員、顧客、パートナー、非人間 ID による安全なリソース アクセスを実現します。これには、具体的には以下のような能力が備わっています。
 

• シングル サインオン: さまざまなアプリケーションとサービスの上でシンプルなアクセスを横断的に提供します。
• 多要素認証: パスワードレス認証と 2 要素認証 (生体認証、FIDO キー、認証アプリケーションなど) が含まれます。
• 特権アクセス管理: 昇格されたアクセス許可を持つ影響力が強いアカウントのセキュリティ保護と監視を行います。
• ログイン セキュリティ: ブルート フォース攻撃、パスワードの再利用、セッション ハイジャックに対する保護機能があります。
• 条件付きアクセス: リスク レベル、位置情報、デバイス正常性などのリアルタイム シグナルに基づいてアクセス許可を調整します。
• リアルタイムの脅威検出と自動対応による ID 保護。
• パブリックおよびプライベート ネットワークに対応したモダンなネットワーク アクセス。
• アクセス ガバナンス: ユーザーやシステムに対するアクセス権の付与を監視、レビュー、自動化します。

この統合プラットフォームは、すべての ID (人間、非人間を含む) の保護と、クラウドおよびハイブリッド環境を含めた全体での安全なアクセスを同時にサポートします。ガバナンス、アクセス許可、自動化に関する組み込みツールを備えた Microsoft Entra では、組織における ID 管理をあらゆるレベルで柔軟に行うことができます。

Microsoft Entra ワークロード ID

企業において自動化、クラウド アプリケーション、コネクテッド サービスの利用が拡大する中で、ソフトウェア ID の管理は、人間の ID のセキュリティ保護と同等のきわめて重要なテーマになっています。Microsoft Entra ワークロード ID は、そうした非人間 ID のセキュリティを集中管理するツールです。サービス プリンシパル、アプリケーション、マネージド ID に対応しており、チームでの以下のような作業をサポートします。
 

• 資格情報をハードコードすることなくアクセスを割り当てる
• 異なる環境をまたいで行われるソフトウェア接続を追跡把握する
• ID の正常性と使用状況を監視する

ワークロード ID は Microsoft Entra ID 保護と連携して非人間 ID の監視を継続的に行い、侵害の兆候 (漏洩した秘密情報、異常なサインイン パターン、脅威インテリジェンスとの一致など) を検出して、即座に対応できるように警告を発します。

機能

Microsoft Entra ワークロード ID に含まれる以下のような機能を使って、複数の大規模環境をまたいだ非人間 ID アクセスのセキュリティを確保できます。
 

• ID の自動検出。タスク ID (アプリケーション、サービス、スクリプトなど) の検出と在庫管理を、Azure とハイブリッド環境の全体にわたって横断的に行います。
• 資格情報不要の認証。マネージド ID と一時トークンを使って安全な自動化アクセスを実現し、コード内にパスワードやアクセス キーを保存しておく必要性をなくします。
• 最小特権アクセスの適用。ロールベースのアクセス許可を適用して、付与するアクセス権を個々のタスクに必要な範囲のみに制限し、過剰なアクセス権を持った ID のリスクを減らします。
• ワークロードの条件付きアクセス。リスク レベル、位置情報、コンテキストに基づいてリアルタイム ポリシーを適用し、ゼロ トラスト制御の適用範囲を非人間 ID に拡大します。
• 集中化された監視とレポート。組み込みのログ記録機能、異常検出、監査対応のレポートにより、ワークロード ID のアクティビティを可視化します。
• Microsoft Entra エコシステムとの連携。Microsoft ワークロード ID と、Entra ID、ID 保護、ID ガバナンスなどの Microsoft セキュリティ ツールとの組み合わせにより、統合的な ID セキュリティを実現します。

結果

組織では、Microsoft Entra ワークロード ID によって以下を実現できます。
 

• Azure とその他の環境を含めた全体で、ワークロード ID の検出と管理を自動的に行います。
• ロールベースのアクセス制御と条件付きアクセス ポリシーを使って最小特権アクセスを適用します。
• 秘密情報のハードコーディングをなくし、安全な認証方法の利用を可能にして、資格情報の保護を強化します。
• 継続的な監視とアクティビティベースのリスク検出を通じて、セキュリティの可視性を改善します。
• ID ガバナンスとポリシー制御を集中化し、監査とコンプライアンスへの対応をシンプル化します。

現実の課題を反映したシナリオ例

金融サービスにおける、安全なソフトウェア リリースの自動化

ある金融機関は、ソフトウェア構築およびリリースの自動化ツールを使って、顧客向けアプリケーションを構築し、展開しています。資格情報の漏洩リスクを減らすために、Microsoft Entra ワークロード ID を使って、リリース サイクル内のフェーズごとにマネージド ID を割り当てています。

これにより、以下のことを実現しやすくなります。
 

• 自動化スクリプト内にハードコードされた秘密情報を排除する。
• 機密性の金融データと API に対する環境やタスクからのアクセスを制限する。
• 明確なアクセス証跡を維持し、コンプライアンス チェックを迅速化する。

医療 IoT システムにおける、信頼できるデータ交換のサポート

ある医療機関は、IoT 対応の医療機器により、患者のテレメトリ情報を収集してクラウド上にホストされたアプリケーションに送信し、リアルタイムの監視を行っています。各デバイスには、Microsoft Entra ワークロード ID から、デバイスの認証と安全な通信を行うための一意な ID が付与されます。

このアプローチにより、以下のことが実現可能になります。
 

• デバイスから患者データを送信する前に自動的にデバイスを認証する。
• 規制対象である医療システムに許可されていない機器がアクセスすることを防ぐ。
• デバイスの交換や廃止に伴う ID 管理作業をシンプル化する。

小売店の自動化ボットによるアクセスのセキュリティ確保

ある大手小売チェーンは、在庫の追跡管理、在庫品の再発注、POS トレンド分析のために AI 搭載のボットを使っています。各ボットは、それぞれ専用に調整されたアクセス権を使って在庫データベースやサプライヤー API などの内部システムにアクセスする必要があります。Microsoft Entra ワークロード ID により、IT チームは個々のボットに厳密なアクセス許可を割り当てて適用できます。

これにより、以下のことが可能になります。
 

• 各ボットの具体的な機能に基づいてアクセス権を割り当てる。
• 対象範囲が広い既定アクセス許可の付与を避け、リスクを最小限に抑える。
• アクティビティの監査を実施し、内部基準と業界基準に対するコンプライアンス状況をチェックする。