「IDおよびアクセス管理」（IAM）として独自のシステムを開発するというAmazon.comの決断は、社内で批判を受けることもあったという。だが結果的に「効果は絶大だった」と責任者は語る。その理由とは。
組織の“セキュリティの要”になるのが、ユーザーの認証やアクセス制御を実施する「IDおよびアクセス管理」（IAM）だ。Amazon.comは、以前利用していたというMicrosoftの「Active Directory」をある理由から廃止した。「多額のコストがかかり、社内でも論議を呼んだ」というこの決断について、責任者は「効果は絶大だった」と話す。同社がActive Directoryを廃止した理由とは何か。
2024年6月に開かれたセキュリティカンファレンス「AWS re:Inforce」でクラウドサービスベンダーのAmazon Web Services（AWS）は、主な差別化要因としてセキュリティ重視の姿勢にスポットを当てた。AWSのセキュリティ文化は長年をかけて形成され、常に照準を定めて着実な投資を続けた結果だと幹部は繰り返し強調している。そうした投資の一つが、Amazon.com従業員用の認証システム「Midway」だった。これは社内で独自に開発したシステムだ。
Active Directoryから独自開発のIAMシステムに移行することを決断した経緯について、Amazon.comのセキュリティエンジニアリング担当バイスプレジデント兼CISO（最高情報セキュリティ責任者）を務めるC・J・モーゼズ氏は「簡単な決断ではなかった」と振り返る。Active Directoryからの脱却を決めたのは、後述する通りでセキュリティ上のある懸念があったからだ。「多額のお金をかけて“異例のこと”をたくさんやったので、われわれは社内で憎まれた」とモーゼズ氏は言う。だが後になって、その決断は間違っていなかったと確信することができたという。「こだわりが強かったのは分かっているのが、それだけの理由があった」（同氏）
Midwayへの投資が報われたのは2020年12月、IT監視ツールベンダーSolarWindsへのサプライチェーン攻撃が発覚した時だった。セキュリティベンダー旧FireEye（McAfee Enterpriseとの統合で2022年にTrellixとなる）の報告によると、国家が関与する集団がSolarWindsのネットワークに不正アクセスし、同社のIT監視ツール「Orion」のソフトウェア更新プログラムにバックドア（システムに不正に侵入するための入り口）を仕掛けていた。同集団（後にロシアの「APT29」と判明。別名「Cozy Bear」「idnight Blizzard」とも呼ばれる）は、このバックドアを利用して、複数の米政府機関を含む100組織以上の顧客に不正アクセスしていた。
この当時、MicrosoftはSolarWindsへの攻撃に関するセキュリティアドバイザリー（セキュリティの警告や助言を提供する文書や通知）を公開し、攻撃者が不正な署名証明書を使って認証プロトコル「SAML」（Security Assertion Markup Language）のトークン（ユーザー認証に使われるデータ）を偽造し、管理者権限でクラウドサービス群「Microsoft Azure」の運用環境にアクセスした手口について解説した。
これはセキュリティベンダーCyberArk Softwareの研究者が、2017年に発見した攻撃手法「Golden SAML」を悪用した攻撃だった。実際にこの手法が悪用されたことが確認されたのは、SolarWindsへの攻撃が初めてだった。Amazon.comはこの攻撃手法に関して懸念を持っており、それがシステムを移行する要因の一つになった。
Golden SAMLの手口では、ネットワークへのアクセス特権をもつ攻撃者がSAMLトークンを偽造することで、SAML認証に対応した全てのアプリケーションやサービスを侵害できる。この手口を利用すれば、標的とする組織のさまざまなIDにでもなりすまして、権限を昇格することが可能になる。
Microsoftの製品に限られる話ではないものの、Golden SAMLはActive Directoryにとって重大な脅威だった。セキュリティベンダーCrowdStrikeが2021年のセキュリティカンファレンス「RSA Conference」で指摘した通り、Microsoftのフェデレーション（アカウント認証の連携）機能「Active Directory Federation Services」（AD FS）では、ドメイン管理者アカウントが1つ破られれば、それを利用して他のシステムやサービスへの横移動が可能になることがある。
「当社は業界標準として定着している認証および認可の仕組みを信用しなかった」とモーゼズ氏は語る。SolarWindsへの攻撃をはじめとした被害の報告がある中でも、AWSのクラウドサービスではセキュリティに起因する同様の事故は発生していない。Active Directoryからの移行を決めたAmazon.comの決断は結果的に正しかったことが証明されたと同氏は強調する。
後編では、Amazon.comがGolden SAMLの手口に対して抱いていた懸念を深堀りして解説する。
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
2006年に金融商品取引法にて規定された内部統制報告制度（J-SOX）では、「ITへの対応」が構成要素となっているが、IT統制の評価プロセスは工数がかかり、業務負担や監査コストが課題となっている。これらを解決する2つのアプローチとは？
企業のActive Directory（AD）にアクセスするためのパスワードが攻撃者の手に渡ると、ポリシー変更や権限昇格のリスクが発生する。だが実際は、使いまわしや共有など、パスワードのずさんな管理も目立つ。これを解決するには？
金融業界は常にイノベーションの創出が求められるが、これを実現する上では、オブザーバビリティの向上が鍵となる。本資料では、金融業界でのイノベーション創出に、オブザーバビリティの向上が必要な理由について解説する。
Google Chromeの拡張機能は、導入が容易であることからユーザーが独自にインストールしているケースも多く、セキュリティ面でのリスクが危惧されている。この問題を解消するには、拡張機能をまとめて管理者が安全に管理する方法が必要だ。
近く廃止される予定の Web 技術を使用している Web サイトは多数存在するが、それらを放置しておくことは、さまざまな問題につながるという。その4つのリスクを解説するとともに、レガシーテクノロジーを特定する方法を解説する。
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア（株）が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年4月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
Cookieを超える「マルチリターゲティング」 広告効果に及ぼす影響は？
Cookieレスの課題解決の鍵となる「マルチリターゲティング」を題材に、AI技術によるROI向...
「マーケティングオートメーション」 国内売れ筋TOP10（2025年4月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
