セキュリティ脅威の複雑化に伴い、ベンダーはIAMツールのスマート化や洗練化を求められている。機械学習を取り入れた高度なアナリティクスにより、IAMツールはユーザーのアクティビティーに目を光らせ、予測したり、異常を的確に検出したりできるようになる。「この進化のトレンドはまだ生まれて間もなく、こうした新しいツールは、アーリーアダプターが試している段階だ」とラディ氏は説明する。

　Microsoftは「Azure Active Directory（AD）Identity Protection」を提供している。このツールは機械学習を利用して、ユーザーの不審な行動を検知する。IT担当者は、機械学習技術の実装方法を知らなくても、Identity Protectionの恩恵を受けられる。さらに、アルゴリズムの今後の改良に向けて、システムの誤検知例をMicrosoftに送信することもできる。

　「Oracle Adaptive Access Manager」や「RSA Adaptive Authentication」のような製品では、IT部門は機械学習モデルを自ら変更できる。この機能は一般的に、特定のサイバー攻撃に見舞われたことがある大企業にアピールするものだ。熟練したIT担当者は、機械学習モデルに手を加え、誤検知を減らしたり、きめ細かな制御を実現したりできる。

　IAMツールはアナリティクスを利用して、多要素認証が実際に必要なタイミングをより正確に判断し、多要素認証の利用を減らしてユーザーエクスペリエンスを向上させることもできる。例えば、IAMシステムがユーザー位置、指紋、IPアドレスといった属性を評価し、それらの組み合わせが低リスクであれば、自動的にアクセスを許可するといったことが可能だ。「この機能を導入したある保険会社は、従業員による多要素認証とパスワードの利用を90％削減した」とラディ氏は語る。

　モビリティーは、多要素認証を複雑化すると同時に簡素化する。IT部門は多要素認証において、ショートメッセージサービス（SMS）を使うことで、あるいはモバイルデバイス自体をトークンとして使うことで、モバイルデバイスを認証プラットフォームとして機能させることができる。IT部門は、パスワードが不要な技術を使って、多要素認証を完全に回避することもできる。

　Produactivityのモバイルアプリは、マネジャーが従業員のモバイルデバイスでの行動を追跡するのに利用できる。マネジャーはこのアプリにアクセスする際にパスワードを入力する必要がない。Auth0は、ユーザーが会社支給のデバイスを使っていることを認識すると、リンク付きの電子メールを送信する。このリンクをクリックすると、ユーザーのログインプロセスが完了し、以後、ユーザーはログインし直す必要がない。

　通信プロバイダーのThe Bernard Groupは、Zohoの「ManageEngine ADManager Plus」を使って、エンドユーザーが電子メールやクラウドアプリケーションにアクセスするための多要素認証を処理している。

　「われわれがわれわれの環境で目指しているのは、エンドユーザーが自ら意思決定できるようにすることだ。エンドユーザーがパスワードや電話番号を更新する必要があるなら、安全にしたいと考えている」と、The Bernard GroupのITテクニカルサポートアナリスト、ショーン・グルームズ氏は説明する。

モジュール化管理

　IAMサービスをスマートにするもう1つの方法は、IAMサービスをモジュール化する、つまり、システムを小さなコンポーネントに分割することだ。ForgeRockのような一部のIAMベンダーは、ID管理マイクロサービスを提供している。各マイクロサービスは、それぞれ特定の機能を持つコンポーネントだ。ForgeRockは現在、トークン交換、トークン検証、認証、認可という4つのID管理マイクロサービスを開発している。トークン検証マイクロサービスは、例えば、ForgeRockが発行した認証トークンなどを検証する。

　こうしたマイクロサービスアーキテクチャは、IAMに高い柔軟性を提供する。組み込まれたOSを実行する必要がないからだ。マイクロサービスは、自己完結型のステートレスモードで実行される。このため開発者は、どのプラットフォームを使っていても、アプリケーションでIAMサービスを使用できる。モジュールはAPIで相互に通信できるので、IAMシステムのインテリジェント化に利用できる。

　「以前は、あるモジュールがシステムのある振る舞いに関する情報を持ち、別のモジュールが別の振る舞いに関する情報を持つ、といった具合だった。だが、これらのモジュールは、そうした情報をやりとりして活用し、さまざまな意思決定を自動化するには至っていなかった」とラディ氏は説明する。

　ベンダーがモジュール化プラットフォームをリリースするようになってきたが、IAMツールはより開発者にとってフレンドリーでなければならない。例えば、あるIDモジュールを別のIDモジュールに接続するには、開発者が統合作業をする必要がある。「この2つのモジュールが、異なるベンダーのものである場合はなおさらだ」とラディ氏は指摘する。そのため、ベンダーはモダンな開発言語を使って、統合機能を提供する必要があるという。

　「ちぐはぐな動きに見えるかもしれない。というのも、一般的にシステムを成熟化させるときは、自動化や、ソフトウェアに実行させる必要がある処理を、あらかじめ実現しておくからだ」（ラディ氏）

　「マイクロサービスとサーバレスアーキテクチャ（クラウドプロバイダーが動的にリソースを分散させるモデル）の導入が進んでいるように、開発者にアピールするクラウドベースIAMツールの導入も進むだろう」とビース氏は予想する。例えば企業は、サーバレスアプリケーションのユーザー認証を「Amazon Cognito」で実現できる。Amazon Cognitoは、開発者が認証の管理ではなく、コードの作成に集中できるようにするフェデレーション型ID管理プラットフォームだ。

　「PaaS（Platform as a Service）を使うことで、物事をスピードアップできる」（ビース氏）