アイデンティティとアクセス管理

アイデンティティとアクセス管理（IAMまたはIdAM）またはアイデンティティ管理（IdM）は、適切なユーザー（企業内または企業に接続されたエコシステムの一部）がテクノロジーリソースに適切にアクセスできるようにするためのポリシーとテクノロジーのフレームワークです。IAMシステムは、ITセキュリティとデータ管理の包括的な傘下にあります。アイデンティティとアクセス管理システムは、ITリソースを使用する個人の識別、認証、アクセス制御だけでなく、従業員がアクセスする必要があるハードウェアとアプリケーションも識別、認証、制御します。^{[1] [2]}

IdMは、ますます異種化する技術環境全体にわたるリソースへの適切なアクセスを確保し、ますます厳格化するコンプライアンス要件を満たす必要性に対処します。^[3]

「アイデンティティ管理」（IdM）と「アイデンティティおよびアクセス管理」という用語は、アイデンティティアクセス管理の分野では同じ意味で使用されます。^[4]

アイデンティティ管理システム、製品、アプリケーション、およびプラットフォームは、個人、コンピュータ関連のハードウェア、およびソフトウェア アプリケーションを含むエンティティに関する識別データと補助データを管理します。

IdM は、ユーザーがID を取得する方法、役割、場合によっては ID によって付与される権限、その ID の保護、その保護をサポートするテクノロジ (ネットワーク プロトコル、デジタル証明書、パスワードなど)などの問題をカバーします。

アイデンティティ管理（ID管理）またはアイデンティティおよびアクセス管理（IAM）は、構成フェーズで最初にアクセス権を登録および承認し、次に運用フェーズで、以前に承認されたアクセス権に基づいて、アプリケーション、システム、またはネットワークにアクセスする個人またはグループを識別、認証、および制御するための組織的および技術的なプロセスです。アイデンティティ管理（IdM）は、コンピューター上のユーザーに関する情報を制御するタスクです。このような情報には、ユーザーのIDを認証する情報と、ユーザーがアクセスおよび/または実行することを許可されているデータとアクションを説明する情報が含まれます。また、ユーザーに関する説明情報の管理と、その情報にアクセスおよび変更する方法とユーザーが含まれます。ユーザーに加えて、管理対象エンティティには通常、ハードウェア、ネットワークリソース、さらにはアプリケーションも含まれます。^[5]次の図は、IAMの構成フェーズと運用フェーズの関係、およびアイデンティティ管理とアクセス管理の違いを示しています。

アクセス制御は、アクセス許可の一部として定義されたアクセス権の強制です。

デジタルアイデンティティとは、個人識別情報（PII）と補助情報を含む、エンティティのオンラインプレゼンスです。PIIの保護に関するOECD ^[6]およびNIST ^{[7]のガイドラインを参照してください。 [8]}これは、処理を容易にする方法で、物理インスタンスのアイデンティティ名と属性をコード化したものと解釈できます。

オンライン システムをエンジニアリングする実際の状況では、ID 管理には次の 5 つの基本機能が含まれます。

• 純粋なアイデンティティ機能: アクセスや権限に関係なく、アイデンティティの作成、管理、削除
• ユーザー アクセス (ログオン) 機能: たとえば、顧客がサービスにログオンするために使用するスマート カードとその関連データ (従来のビュー)
• サービス機能: ユーザーとそのデバイスに、パーソナライズされた、役割ベースの、オンラインの、オンデマンドの、マルチメディア (コンテンツ) の、プレゼンスベースのサービスを提供するシステム
• アイデンティティフェデレーション:パスワードを知らなくてもユーザーを認証するためにフェデレーションアイデンティティを利用するシステム
• 監査機能: ボトルネック、故障、疑わしい動作を監視します

アイデンティティの一般的なモデルは、たとえば、特定の名前空間内のすべてのアイデンティティが一意である、またはそのようなアイデンティティが現実世界の対応するエンティティと特定の関係を持っている、といった少数の公理から構築できます。このような公理モデルは、モデルが特定のアプリケーション コンテキストによって制約されないという意味で「純粋なアイデンティティ」を表現します。

一般に、エンティティ (実体または仮想) は複数の ID を持つことができ、各 ID は複数の属性を含むことができ、その一部は特定の名前空間内で一意です。次の図は、ID とエンティティ、および ID とその属性の概念的な関係を示しています。

デジタル IDのほとんどの理論的モデルとすべての実際的モデルでは、特定の ID オブジェクトは、プロパティ(属性値) の有限セットで構成されます。これらのプロパティは、モデル外部の目的のため、または分類や検索などのモデルを操作するために、オブジェクトに関する情報を記録します。「純粋な ID」モデルは、これらのプロパティの外部セマンティクスにはまったく関係ありません。

実際のところ、「純粋なアイデンティティ」からの最も一般的な逸脱は、アイデンティティのある側面を保証することを意図したプロパティで発生します。たとえば、モデルが外部目的を満たすためにアイデンティティのある側面を検証するために内部的に使用するデジタル署名^[3]やソフトウェア トークンなどです。モデルがそのようなセマンティクスを内部的に表現する限り、それは純粋なモデルではありません。

この状況を、アクセスや権限の管理などの情報セキュリティの目的で外部で使用される可能性があるが、モデルによる特別な処理なしで単に保存、維持、および取得されるプロパティと比較してください。モデル内に外部セマンティクスが存在しないことは、このモデルを「純粋な ID」モデルとして分類します。

したがって、アイデンティティ管理は、特定のアイデンティティ モデルに対する一連の操作として定義できます。より一般的には、そのモデルを参照する一連の機能として定義できます。

実際には、アイデンティティ管理は、モデルコンテンツが複数のアイデンティティモデル間でどのようにプロビジョニングされ、調整されるかを表現するために拡張されることが多い。アカウントを調整するプロセスは、デプロビジョニングとも呼ばれる。^[9]

ユーザー アクセスにより、ユーザーはアプリケーション間で特定のデジタル ID を想定できるようになり、この ID に対してアクセス制御を割り当て、評価できるようになります。複数のシステムで特定のユーザーに単一の ID を使用すると、管理者とユーザーのタスクが軽減されます。これにより、アクセスの監視と検証が簡素化され、組織は 1 人のユーザーに付与される過剰な権限を最小限に抑えることができます。このプロセスでは、ユーザー アクセスのセキュリティを確保することが非常に重要です。これは、ユーザー資格情報の整合性と機密性を保護し、不正アクセスを防止するためです。多要素認証 (MFA)、定期的なセキュリティ監査、厳格なアクセス制御などの堅牢な認証メカニズムを実装すると、ユーザー ID と機密データを保護するのに役立ちます。ユーザー アクセスは、ユーザー アクセスの開始から終了まで追跡できます。^[10]

組織がアイデンティティ管理プロセスまたはシステムを導入する場合、その主な目的は、通常、アイデンティティのセットを管理することではなく、アイデンティティを介してそれらのエンティティに適切なアクセス権を付与することです。言い換えれば、アクセス管理は通常、アイデンティティ管理の動機であり、その結果、2つのプロセスセットは密接に関連しています。^[11]

組織は、内部ユーザーと顧客の両方に対してサービスを追加し続けています。このようなサービスの多くは、これらのサービスを適切に提供するためにアイデンティティ管理を必要とします。アイデンティティ管理は、アプリケーションの機能から分離されることが多くなり、単一のアイデンティティで組織の多くの活動、あるいはすべての活動に対応できるようになりました。^[11]

社内使用の場合、アイデンティティ管理は、デバイス、ネットワーク機器、サーバー、ポータル、コンテンツ、アプリケーション、製品など、すべてのデジタル資産へのアクセスを制御するように進化しています。

多くの場合、サービスでは、アドレス帳、設定、権限、連絡先情報など、ユーザーに関する広範な情報へのアクセスが必要になります。これらの情報の多くはプライバシーや機密保持の要件の対象となるため、アクセスを制御することは非常に重要です。^[12]

アイデンティティ フェデレーションは、ユーザー アクセスを共有し、フェデレーションに参加しているシステムの 1 つに対して認証を行うことでユーザーがログインできるようにする 1 つ以上のシステムで構成されます。複数のシステム間のこの信頼関係は、多くの場合、「信頼の輪」として知られています。この設定では、1 つのシステムがアイデンティティ プロバイダー(IdP) として機能し、他のシステムがサービス プロバイダー(SP) として機能します。ユーザーが SP によって制御されるサービスにアクセスする必要がある場合、まず IdP に対して認証を行います。認証が成功すると、IdP は SP に安全な「アサーション」を送信します。「セキュリティ アサーションを記述するためのマークアップ言語を使用して指定される SAML アサーションは、検証者が、要求者のアイデンティティについて依存当事者に声明を出すために使用できます。SAML アサーションは、オプションでデジタル署名できます。」^[13]

SAML仕様の最も人気のあるリファレンス実装はShibbolethとSimple-SAML.phpです。これらの言語は両方ともシングルサインオン（SSO）機能も提供します。^[14]

支援付きまたはセルフサービスによるユーザー ID データの作成、削除、変更に加えて、ID 管理では、連絡先情報や場所など、アプリケーションで使用される補助的なエンティティ データを制御します。

• 認証: パスワード、指紋などの生体認証、またはタッチスクリーン上のジェスチャパターンなどの特徴的な動作を使用して、エンティティが本人であるかどうかを検証します。
• 承認: 特定のアプリケーションのコンテキストでエンティティが実行できる操作を定義する承認情報を管理します。たとえば、あるユーザーには販売注文を入力する権限が与えられ、別のユーザーにはその注文のクレジット要求を承認する権限が与えられます。
• ロール: ロールは、操作やその他のロールのグループです。ユーザーには、多くの場合、特定のジョブまたは職務に関連するロールが付与されます。ロールには権限が付与され、ロールを付与されたすべてのユーザーを効果的に承認します。たとえば、ユーザー管理者ロールにはユーザーのパスワードをリセットする権限が付与され、システム管理者ロールにはユーザーを特定のサーバーに割り当てる権限が付与されます。
• 委任: 委任により、ローカル管理者またはスーパーバイザーはグローバル管理者なしでシステムの変更を実行したり、1 人のユーザーが別のユーザーに代理でアクションを実行させたりすることができます。たとえば、ユーザーはオフィス関連の情報を管理する権限を委任できます。
• 交換：SAML プロトコルは、2つのアイデンティティドメイン間でアイデンティティ情報を交換するために使用される主要な手段です。^[15] OpenID Connectもそのようなプロトコルの1つです。

個人情報をコンピュータネットワーク上に公開することは、必然的にプライバシーに関する懸念を引き起こします。適切な保護がなければ、そのデータは監視社会の実現に利用される可能性があります。^[16]

ソーシャルウェブやオンラインソーシャルネットワーキングサービスでは、アイデンティティ管理が多用されています。ユーザーが自分の個人情報へのアクセスをどのように管理するかを決める手助けをすることは、広く関心を集めている問題となっています。^{[17] [18]}

個人情報の盗難は、銀行口座にアクセスするために必要な個人情報などの個人情報に泥棒がアクセスしたときに発生します。

アイデンティティ管理に関する研究は、テクノロジー、社会科学、人文科学、法律などの分野にわたります。^[19]

分散型アイデンティティ管理は、分散型識別子（DID）に基づいたアイデンティティ管理である。 ^[20]

2007 年から 2013 年にかけての欧州連合の 第 7 次研究フレームワーク プログラムでは、アイデンティティ管理に関連するいくつかの新しいプロジェクトが開始されました。

PICOSプロジェクトは、モバイルコミュニティにおける信頼、プライバシー、アイデンティティ管理を提供する最先端のプラットフォームを調査・開発しています。^[21]

プライムライフは、個人の活動に関係なく、個人の自主性を保護し、個人情報を管理できるようにするためのコンセプトとテクノロジーを開発しています。^[22]

SWIFTは、ユーザビリティとプライバシーの問題に対処しながら、ネットワークへのアイデンティティ機能とフェデレーションの拡張に重点を置いており、ユーザーとプロバイダーの利益のためにサービスとトランスポートインフラストラクチャを統合するための鍵としてアイデンティティテクノロジーを活用しています。^[23]

進行中のプロジェクトには、情報社会におけるアイデンティティの未来（FIDIS）^[24] 、 GUIDE ^{[25] 、PRIME [26]}などがあります。

アイデンティティ管理に関連する記事を掲載している 学術雑誌には以下のものがあります。

• 倫理と情報技術
• 情報社会におけるアイデンティティ
• 監視と社会^[要出典]

あまり専門的ではないジャーナルでもこの​​トピックに関する出版物があり、たとえば、アイデンティティに関する次のような特集号があります。

• オンライン情報レビュー^[27 ]

ISO (より具体的にはISO/IEC JTC 1、SC27 IT セキュリティ技術 WG5 アイデンティティ アクセス管理およびプライバシー技術) は、アイデンティティ管理 (ISO 2009) の標準化作業を実施しており、アイデンティティ関連用語の定義を含むアイデンティティ管理のフレームワークの詳細化などが行われています。公開されている標準と現在の作業項目には、次のものが含まれます。

• ISO/IEC 24760-1 アイデンティティ管理のフレームワーク – パート 1: 用語と概念
• ISO/IEC 24760-2 アイデンティティ管理のフレームワーク – パート 2: 参照アーキテクチャと要件
• ISO/IEC DIS 24760-3 アイデンティティ管理のフレームワーク – パート3: 実践
• ISO/IEC 29115 エンティティ認証保証
• ISO/IEC 29146 アクセス管理のフレームワーク
• ISO/IEC CD 29003 本人確認と検証
• ISO/IEC 29100 プライバシー フレームワーク
• ISO/IEC 29101 プライバシーアーキテクチャ
• ISO/IEC 29134 プライバシー影響評価方法論

各組織には通常、スタッフのデジタルアイデンティティと、オブジェクトアイデンティティまたはオブジェクト識別子(OID) で表される独自のオブジェクトのスキーマを管理する役割または部門があります。^[28] アイデンティティ管理の監視に関連する組織のポリシー、プロセス、および手順は、アイデンティティガバナンスと管理(IGA) と呼ばれることがあります。このような組織レベルのアイデンティティ管理機能を自動化および簡素化するための商用ソフトウェアツールが存在します。^{[29]このようなツールがどれだけ効果的かつ適切に使用されるかは、より広範な}ガバナンス、リスク管理、およびコンプライアンス体制 の範囲内にあります。

2016年以来、アイデンティティとアクセス管理の専門家は、IDProという独自の専門組織を持っています。2018年に委員会は、重要な出版物、書籍、プレゼンテーション、ビデオをリストした注釈付き参考文献の発行を開始しました。^[30]

アイデンティティ管理システムとは、情報システム、または企業またはネットワーク間のアイデンティティ管理に使用できる一連のテクノロジを 指します。

「アイデンティティ管理システム」に関連して、以下の用語が使用される: ^[31]

• アクセスガバナンスシステム
• アイデンティティおよびアクセス管理システム
• 権限管理システム
• ユーザープロビジョニングシステム

アイデンティティ管理、別名アイデンティティおよびアクセス管理（IAM）は、アプリケーション、データ、システム、クラウドプラットフォームなどのリソースへのユーザーアクセスを認証および承認するためのアイデンティティセキュリティフレームワークです。適切な人だけが適切なツールに適切な理由でプロビジョニングされるようにします。デジタルエコシステムが進化し続けるにつれて、アイデンティティ管理の世界も進化します。^[32]

「アイデンティティ管理」と「アクセスとアイデンティティ管理」（またはAIM）は、アイデンティティ管理というタイトルの下で互換的に使用される用語ですが、アイデンティティ管理自体は、ITセキュリティ^[33]、情報プライバシー^{[34] [35]}、プライバシーリスク^[36]、およびユーザビリティと電子インクルージョン研究の傘下にあります。^{[37] [38]}

アイデンティティおよびアクセス管理 (IAM) には 3 つのコンポーネントがあります。

• アクセス管理/シングルサインオンにより、ユーザーがネットワークやアプリケーションにアクセスする前にユーザーの身元を確認します。
• オンボーディングや役割/責任の変更に対する適切なアクセスポリシーに従ってユーザーアクセスが許可されていることを確認するためのアイデンティティガバナンス
• 高度な権限を持つアカウント、アプリケーション、システム資産へのアクセスを制御および監視する特権アクセス管理

これらの技術はアイデンティティガバナンスを使用して組み合わせることができ、自動化されたワークフローとプロセスの基盤を提供します。^[39]

FIDIS Network of Excellenceの分析によると、アイデンティティは3つの異なるモードで概念化されている。^[40]

1. 同一性: 同一性の第三者（つまり、客観化された）帰属。このような客観化された視点は、他人に対してだけでなく、自分自身に対してもとることができます。
2. イプセ同一性: イプセ同一性の観点は、現在ここで多様性と差異を経験しながら、時間の経過の中で連続的な存在 (idem) として自分自身を構成するものに関する一人称の観点です。
3. 自分というアイデンティティ: 「自分」(GH Mead) とは、人が想定する他者の態度の集合体です。これは、一人称視点である「私」によって構成され、一人称視点は、遭遇して発展するさまざまな三人称視点を組み込んでいます。したがって、「自分」は、自分に対する三人称視点の変化に応じて、継続的に再構成されます。

ベルティーノと高橋の教科書^[41]では、 FIDISのアイデンティティ概念とある程度重複する3つのアイデンティティのカテゴリーが定義されています。

• 「私というアイデンティティ」：私がアイデンティティとして定義するもの
• 「私たちのアイデンティティ」：私と他人がアイデンティティとして定義するもの
• 「彼らのアイデンティティ」：他人が私のアイデンティティとして定義するもの

アイデンティティ管理システムは、以下の作成、管理、展開に関係します。

• 識別子: 主体を識別するために使用されるデータ。
• 資格情報: アイデンティティまたはその一部に関する主張の証拠となるデータ。
• 属性: 対象の特性を表すデータ。

ID 管理システムの目的は次のとおりです。

• 識別: ユーザーは誰か – ログオン時またはデータベース検索時に使用
• 認証: これは実際のユーザーですか? システムは証拠を提供する必要があります。
• 承認と否認防止: 電子 ID を使用したドキュメントまたはトランザクションの承認。多くの場合、電子 ID に基づくデジタル署名を使用します。否認防止と領収書を生成します。

アイデンティティ管理システム、製品、アプリケーション、プラットフォームは、企業や組織向けに実装された商用のアイデンティティ管理ソリューションです。^[42]

アイデンティティ管理に関連する技術、サービス、用語には、Microsoft Windows Active Directory、サービスプロバイダー、アイデンティティプロバイダー、Webサービス、アクセス制御、デジタルアイデンティティ、パスワードマネージャー、シングルサインオン、セキュリティトークン、セキュリティトークンサービス（STS）、ワークフロー、OpenID、WS-Security、WS-Trust、SAML 2.0、OAuth、RBACなどがあります。^[43]

一般的に、電子 IdM はあらゆる形式のデジタル ID の管理を網羅していると言えます。ID 管理への焦点は、X.500などのディレクトリの開発にまで遡ります。X.500では、名前空間が、国、組織、アプリケーション、加入者、デバイスなどの現実の「識別された」エンティティを表す名前付きオブジェクトを保持する役割を果たします。X.509 ITU-T標準では、証明書の ID 属性を、証明書のサブジェクトと証明書の発行者の 2 つのディレクトリ名として定義しました。X.509 証明書とPKIシステムは、サブジェクトのオンライン「ID」を証明するために機能します。したがって、IT 用語では、ID 管理は、現実世界で識別される項目 (ユーザー、組織、デバイス、サービスなど) を表す情報 (ディレクトリに保持されている) の管理であると考えることができます。このようなシステムの設計には、明示的な情報と ID エンジニアリング タスクが必要です。

アイデンティティ管理の進化は、インターネット技術の進歩と密接に連動しています。1990 年代初頭の静的 Web ページと静的ポータルの環境では、企業は従業員の「ホワイト ページ」などの情報 Web コンテンツの配信を検討していました。その後、従業員の離職、プロビジョニング、プロビジョニング解除により情報が変化すると、セルフサービスとヘルプデスクの更新をより効率的に実行する機能が、今日のアイデンティティ管理と呼ばれるものに変化しました^{[アップデート]}。

アイデンティティ管理のカテゴリに分類される ソリューションには、次のようなものがあります。

アイデンティティの管理

• ユーザーアカウントのプロビジョニングとデプロビジョニング
• ワークフロー自動化
• 委任管理
• パスワード同期
• セルフサービスパスワードリセット

アクセス制御

• パスワードマネージャー
• シングルサインオン（SSO）
• Web シングル サインオン (Web SSO)
• ロールベースのアクセス制御(RBAC)
• 属性ベースのアクセス制御(ABAC)

ディレクトリサービス

• x.500とLDAP
• マイクロソフト アクティブ ディレクトリ
• Microsoft Entra ID (旧称 Microsoft Azure Active Directory)
• NetIQ 電子ディレクトリ
• アイデンティティリポジトリ（ユーザーアカウント属性を管理するためのディレクトリサービス）
• メタデータの複製と同期
• ディレクトリ仮想化（仮想ディレクトリ）
• eビジネス規模のディレクトリシステム
• 次世代システム - 複合適応ディレクトリサービス (CADS) と CADS SDP

その他のカテゴリー

• 信頼できないネットワーク上の Web アプリケーションに対するユーザー アクセス権の連携
• ディレクトリ対応ネットワークと802.1X EAP

• SAM 2.0 の概要
• オーソリティ
• オープンID
• Liberty Alliance – フェデレーションID管理を推進するコンソーシアム
• Shibboleth (Internet2) – 教育環境を対象としたアイデンティティ標準
• グローバルトラストセンター
• 中央認証サービス
• NIST SP800-63

• Gross, Ralph; Acquisti, Alessandro; Heinz, JH (2005)。「オンライン ソーシャル ネットワークにおける情報の開示とプライバシー」。電子社会におけるプライバシーに関するワークショップ。電子社会におけるプライバシーに関する 2005 ACM ワークショップの議事録。pp .  71– 80。doi :10.1145 / 1102199.1102214。ISBN 978-1595932280. S2CID  9923609。
• ハルペリン、ルース、バックハウス、ジェームズ (2008)。「情報社会におけるアイデンティティの研究のためのロードマップ」情報社会におけるアイデンティティ。1 (1) (2009 年出版): 71。doi : 10.1007 /s12394-008-0004-0。
• Lusoli, Wainer; Miltgen, Caroline (2009)。「若者と新興デジタルサービス。リスクに対する動機、認識、受容に関する調査」。JRC科学技術レポート(EUR 23765 EN) (2009 年 3 月発行)。doi : 10.2791/68925。ISBN 9789279113307. 2017年3月16日時点のオリジナルよりアーカイブ。2009年3月17日閲覧。
• ISO、IEC (2009)。「情報技術 - セキュリティ技術 - アイデンティティ管理のフレームワーク」。ISO/IEC WD 24760 (作業草案)。
• Pohlman, MB (2008)。Oracle Identity Management :ガバナンス、リスク、コンプライアンスのアーキテクチャ。Auerbach Publications。ISBN 978-1-4200-7247-1。
• Pounder, CNM (2008)。「監視社会でプライバシーが保護されているかどうかを評価するための 9 つの原則」。情報社会におけるアイデンティティ。1 (2009 年発行): 1. doi : 10.1007 /s12394-008-0002-2。
• Taylor, John A.; Lips, Miriam; Organ, Joe (2009)。「政府における身元確認の実践: 国民監視と公共サービスの改善の探求」。情報社会におけるアイデンティティ。1 : 135。doi : 10.1007 /s12394-009-0007-5。
• Taylor, John A. (2008). 「ゼロプライバシー」IEEE Spectrum . 45 (7): 20. doi :10.1109/MSPEC.2008.4547499.
• ウィリアムソン、グラハム。そう、デビッド。イラン、シャルニ。ケント州スポルディング（2009 年 9 月 1 日）。アイデンティティ管理: 入門書。 MCプレス。ISBN 978-1-58347-093-0。
• Bernal Bernabe , Jorge; Hernandez-Ramos, Jose L.; Skarmeta, Antonio (2017). 「モノのインターネットのための総合的なプライバシー保護アイデンティティ管理システム」。モバイル情報システム。2017 (6384186): 1– 20。doi : 10.1155/2017/6384186。

• プライバシーとアイデンティティ管理に関する一般向けチュートリアル
• アイデンティティ管理の概要 ( Computer Weekly )
• フェデレーテッド テレコミュニケーションズ (SWIFT) 向けのセキュアな広範囲の ID
• ISO 18876 産業オートメーションシステムと統合におけるアイデンティティ管理と情報共有
• 疎結合アイデンティティ管理のための 50 のデータ原則: SlideShare
• パスワードを覚えるのをやめて、アイデンティティ管理に切り替えましょう: Business Insider
• NIST SP800-63