5.2アクセス管理と特権管理

サービスを安全に回すうえで、「誰がどのシステムに、どこまでの権限でアクセスできるか」を適切に制御することは、運用の根幹です。権限を配りすぎれば内部不正や事故時の被害が拡大し、逆に厳しすぎれば業務が止まってSLAを損ないます。さらに、いったん付与した権限は放置すると退職者や異動者のアカウントが残り続け、悪用の温床になります。この節では、最小権限の原則、権限を付与し（プロビジョニング）定期的に見直す（棚卸し）ライフサイクル、特に強い権限を扱う特権ID管理、そして本人確認を担う認証を、運用者の判断として学びます。

5.2.1最小権限とアクセス権のライフサイクル

• 最小権限（least privilege）＝各利用者・各サービスに、業務遂行に必要な最小限の権限だけを与える原則。過剰な権限は、内部不正・誤操作・アカウント乗っ取り時の被害範囲（爆発半径）を無用に広げる。役割に応じてまとめて権限を割り当てる役割ベースアクセス制御（RBAC）は、最小権限を運用しやすくする代表的な方式。
• アクセス権にはライフサイクルがある。プロビジョニング（付与）＝入社・異動・プロジェクト参加に合わせて必要な権限を承認のうえ付与する。棚卸し（アクセスレビュー/再認証）＝定期的に「今も本当にその権限が必要か」を見直し、不要になった権限（退職者・異動者・終了プロジェクト分）を剥奪する。退職・異動時の速やかな権限剥奪（デプロビジョニング）を怠ると、放置アカウントが重大なリスクになる。

5.2.2特権ID管理と認証

• 特権ID管理（PAM）＝管理者権限（root/Administrator等）のような強い権限を、通常の利用者IDとは別に厳格に管理する運用。常時付与せず必要な時だけ一時的に払い出す（ジャストインタイム）、払い出しに承認を要求する、操作ログ・録画を取り証跡化する、共有せず個人を特定できる形で使わせる、といった統制で、強い権限の濫用・追跡不能を防ぐ。
• 認証＝アクセスを許す前に「本人であること」を確かめる仕組み。知識（パスワード）・所持（トークン/スマホ）・生体などの要素を組み合わせる多要素認証（MFA）は、パスワード漏えい単独では突破されにくくする。特権IDや外部公開系の認証にはMFAを必須化するのが定石。認証（本人確認）と、その本人に何を許すかを決める認可（アクセス権）は別概念である点も運用上重要。

あるサービス運用組織で内部監査を行ったところ、半年前に別部署へ異動した元運用担当者のIDが、依然として本番データベースへの管理者権限を保持したまま有効になっていることが判明したとします。幸い悪用の痕跡はありませんでしたが、これは棚卸し（定期的なアクセスレビュー）と異動時のデプロビジョニングが機能していなかったことを示す重大な指摘です。サービスマネージャは、まず個別対応としてこのIDの権限を直ちに剥奪しましたが、それだけでは同種の放置が再発します。そこで運用プロセス自体を是正することにしました。第一に、最小権限の観点で各IDの権限を役割（RBAC）に基づいて整理し直し、業務に不要な広域権限を絞りました。第二に、四半期ごとの棚卸し（再認証）を運用手順に組み込み、各権限について「今も必要か」を権限所有者の上長が承認する仕組みとし、承認されなかった権限は自動的に剥奪する運用にしました。第三に、人事の異動・退職情報と権限管理を連動させ、異動・退職の発生を起点に速やかにデプロビジョニングが走るようにしました。さらに、本番DBの管理者権限のような特権は常時付与をやめ、必要な作業時にだけ承認付きで一時的に払い出し、操作を録画して証跡化する特権ID管理へ移行しました。ここで重要なのは、「気づいたIDを消す」という個別対応で終わらせず、なぜ放置が起きたかという根本原因（棚卸しと異動連動の欠如）を問題管理的に捉え、恒久的な運用プロセスとして是正することです。アクセス管理は一度設定して終わりではなく、付与・見直し・剥奪のライフサイクルを回し続ける運用そのものだ、という判断がサービスマネージャに求められます。

5.2.3この節のまとめ

• 最小権限（RBAC等）で必要最小限だけ付与し、内部不正・事故時の被害範囲（爆発半径）を狭める
• アクセス権はライフサイクルで管理し、プロビジョニング（付与）と定期的な棚卸し（再認証）、異動/退職時の速やかなデプロビジョニングを回し続ける
• 管理者権限のような特権は特権ID管理で必要時だけ承認付きに払い出して証跡化し、認証にはMFAを用いる（認証と認可は別概念）