5.2アクセスレビュー

アクセスは時間とともに溜まり、「もう不要なのに残った権限（権限クリープ）」が生まれます。アクセスレビュー は、既存アクセスを定期的に「まだ必要か」見直し、不要を剥奪する仕組みです。

5.2.1レビューの作成と担当

アクセスレビューでは、対象（グループのメンバー・アプリの割当・特権ロール・ゲスト）と頻度（1 回/定期）を設定し、レビュー担当（リソース所有者・本人＝self-review・マネージャー）を指定します。レビュー結果を 自動適用 する設定にすると、否認されたアクセスが自動で剥奪されます（手動適用も可）。応答が無い場合の既定動作（削除/維持/推奨に従う）も設計します。とくに ゲストの定期レビュー と 特権ロールのレビュー は重要です。

5.2.2監視と特権ロールのガバナンス

管理者はレビューの進捗・結果を監視し、必要に応じて手動で対応します。PIM と連携した特権ロールのアクセスレビュー は、Global Administrator など高権限の保有者を定期的に棚卸しし、過剰な特権を削減します。アクセスレビューはエンタイトルメント管理（入口の統制）と対をなす「継続的な棚卸し」で、ゼロトラストの最小特権を時間軸で維持します。