企業内におけるID管理システム

　次に企業内における一般的なID管理システムの概要を解説する（図2）。

図2　ID管理システム全体の構成例《クリックで拡大》

IDライフサイクル管理

　1つ目はIDライフサイクル管理だ。基となるシステム（源泉）からIDを取り込み、人事のイベントに応じて認証基盤や各アプリケーションとの間で必要なIDを同期する。一般的なID管理システムは、Javaとリレーショナルデータベースを接続するためのAPI「JDBC」（Java Database Connectivity）や、CSVファイルの取り込み機能など、源泉からIDを取得するためのさまざまな仕組みを用意している。

　他にも管理者に必要なメンテナンス機能や利用者のIDをセルフメンテナンスさせる機能、ワークフローにより源泉以外のIDを新規作成、変更、削除する機能などもある。

IDプロビジョニング

　認証や認可をするための事前処理を一般的に「IDプロビジョニング」と呼ぶ。これがID管理システムの2つ目の要素だ。当然ながらオンプレミスのサービスだけでなく、クラウドサービスついてもIDプロビジョニングが必要になる。

　IDプロビジョニングでは、ID管理システムから後述の「統合認証基盤」へ、認証に必要なIDを同期する。さらにアプリケーションにも認可に必要なIDを同期する。

　社内のイントラネットやクラウドサービスなど複数のシステムを利用する場合、ユーザー認証やアクセス権限など「認証と認可に関する情報」が必要となる。統合認証基盤は、これらの情報を統合管理するための仕組みのことを指す。

認証

　3つ目が認証だ。一般的に「Active Directory」などLDAPを使ったディレクトリサービスが認証を実施する。

認可

　4つ目の認可では、アプリケーション利用者の権限を制御する。一般的に制御自体はアプリケーション側で実施し、認可に必要な属性情報はID管理システムを使って管理する。

SSO

　5つ目はSSOだ。ログイン情報を受け渡しすることで、利用者が1回のログインで、クラウドサービスを含むさまざまなWebアプリケーションを利用できる（ログインできる）ようにする仕組みのことを指す。SSOには主に以下の4つの方式がある。

• エージェント方式
  • Webアプリケーションサーバに、認証処理を代行する「エージェント」というモジュールを組み込む方式。エージェントがSSOサーバに、ログイン状態やアクセス権限を問い合わせ、認証・認可の状態を確認することで、SSOを実現
• リバースプロキシ方式
  • WebブラウザとWebアプリケーションサーバ間で処理を橋渡しする「リバースプロキシ」を設置する方式。Webブラウザからのアクセスをリバースプロキシが受けて、Webアプリケーションサーバに中継することでSSOを実現
• 代理認証方式
  • Webアプリケーションやクラウドサービスのログインページに対して、利用者の代わりにIDとパスワードを自動送信し、代理入力することによってログインを完了させ、SSOを実現する方式
• フェデレーション方式
  • IDプロバイダー（IDP：アイデンティティープロバイダー）とクラウドサービス（SP：サービスプロバイダー）間で、認証済みであることを示す「チケット」と呼ばれる情報を受け渡しすることで、SSOを実現する方式。認証方式には「SAML 2.0」や「OpenID Connect」などがある。クラウドサービスのSSOの実現手段として広く採用

ID管理はITガバナンス向上にもつながる

　ここまでID管理の基本的な事項についてまとめてきた。技術的な側面だけではなく、各企業のITガバナンス向上の一環として、ID管理の重要性を認識いただければと思う。

　次回は企業内のIT課題に対するID管理の役割について解説する。