クラウド時代にIDを守るには【中編】

いまさら聞けない「役割ベースのアクセス制御」（RBAC）とその「進化版」

クラウドサービスを侵入から保護する「IAM」（IDおよびアクセス管理）の一環として、「役割ベースのアクセス制御」（RBAC）がある。RBACとは何か。

公開 2025年02月17日 07時30分

[TechTarget]

印刷する連載新着通知を受け取る

　システムへの不正アクセスは、ランサムウェア（身代金要求型マルウェア）といった重大な攻撃の入口になりかねない。不正アクセスを防ぐには、「IAM」（IDおよびアクセス管理）の取り組みが大切だ。IAMの一つのツールとして、「役割ベースのアクセス制御」（RBAC：Role Based Access Control）がある。どのようなもので、なぜ有効なのか。

「RBAC」とは？　その「進化版」も

併せて読みたいお薦め記事

連載：クラウド時代にIDを守るには

前編：「MFA」が鍵なら「UEBA」は何か　IAMの今どきの常識

「IAM」はなぜ重要か？

　組織の再編があった場合は、対象となる従業員のアクセス権を変えなければならないことがある。適切にアクセス権を更新できていないと、不要なアクセス権が悪用され、インシデントにつながることがある。そうしたアクセス権の管理不備を防ぐためのツールが、RBACだ。

　RBACは、特定の役割やタスクに基づいて事前に定義されたアクセス権を割り当てる手法だ。つまり、仕事に必要なシステム以外にはアクセスできないようにする、ということになる。RBACツールの利用に際し、役割をできる限り細かく設定することが推奨されている。

　RBACの一歩進んだ手法として「ジャストインタイムアクセス」がある。ジャストインタイムアクセスとは、特定のタスクを実行するために、ユーザーに一時的な昇格権限を付与する仕組みだ。タスクが完了すれば、アクセス権が無効になる。アクセス可能な期間を制限することで攻撃リスクを減らせる。

　以上のようなアクセス権の制限に加え、ID管理のプロセス整備も重要だ。例えば、MicrosoftのIAMツール群「Microsoft Entra」（旧称：Azure Active Directory）には「アクセスレビュー」機能がある。この機能を使えば、社内のIDを定期的にチェックし、誰が昇格権限を使用しているかを把握できる。外部関係者のアクセス権の管理も可能だ。

　Microsoft Entraは、複数のアクセス権をグループ化できる機能「アクセスパッケージ」も備えている。例えば、社内ポータルサイト構築ツール「Microsoft SharePoint」で作ったサイトの閲覧や、Web会議ツール「Microsoft Teams」で作成したチームへの参加といったアクセス権を一つにまとめることができる。従業員が部門を異動したり、昇進したりした場合、グループから削除することで、一度に全てのアクセス権を取り上げることが可能だ。こうして一つのIDに過去のアクセス権が蓄積されることを防げる。

　後編は、不正侵入を防ぐための2つの認証手法を紹介する。