日立 ID アクセス･サーティファイアー Features
日立 IDアクセス認証プロセスは過度のアクセス権限の特定と除去の問題を解決します。
認証プロセスは以下の単純な前提を基盤にしています。 ビジネス・ステークホルダーが、ビジネス上で親密な関係にあるユーザーに割当てられている不適切な権限を特定できること。
日立 ID アクセス･サーティファイアーはこのように基礎的な観察やアクセスレビューの異属、そして組織上のマネージャやアプリケーション・オーナーへのクリーンアップと認証の上に構築されています。3タイプのビジネス・ステークホルダーが以下の3タイプのアクセス認証を導きます。
- 組織中心認証Org-centric Certification
日立 ID アクセス･サーティファイアーは組織チャートデータを活用して、マネージャと部下の間の関係を特定します。このデータを使用することにより、マネージャは部下のアクセス権限のレビューを求められることができます。マネージャに送信された要求も、リマインダーも、認証変更もすべて日立 ID アクセス･サーティファイアーワークフロー・エンジンを使用します。
組織中心認証における日立 ID アクセス･サーティファイアープロセスは以下の様に実行されます。
- 日立 ID アクセス･サーティファイアーは定期的に（企業ポリシーによって四半期や半期など）マネージャにスタッフのアクセス権限のレビューを求めます。認証要求はEメールで送信され、ワークフロー・エンジンは自動リマインダーを送信し、応答しなかったマネージャより上に要求をエスカレートします。
- 自身のネットワークもしくはディレクトリログインIDとパスワードで日立 ID アクセス･サーティファイアーにサインインすることで、マネージャは応答します。
- ダッシュボード・インターフェースはマネージャにスタッフのリストを提供し、組織ですでに働いていないスタッフ（ユーザー・プロファイル）を特定するように求めます。選択したものは後ほど消去されます。
- 残りの正式なユーザには、日立 ID アクセス･サーティファイアー対象システム上のログイン・アカウントのリストとともに、アクセス・プロファイルが表示されます。対象システムには、名称、ビジネス機能の摘要、そして外部のHTMLページへのリンクなどの情報が記述されます。そのページにはスクリーンショットやより長い摘要など、固体識別に関するより詳細な情報が含まれています。
- マネージャーは不要になったアカウントを特定し、後ほど削除するためにアカウントにフラグをつけます。
- マネージャーは配下のスタッフが対象システム上に保有しているセキュリティ・グループ・メンバーシップのリストを見ます。ログイン・アカウントと同様に、セキュリティ・グループも名称、ビジネス機能、ポップアップのHTMLヘルプ・ページへのリンクによって判別されます。マネージャーは適切ではなくなったグループ・メンバーシップを特定するように求められます。
- マネージャーは直属の部下に対して上記のプロセスを完了し、「アクセスレビューが完了しました。」という旨のメッセージを読み終えたあとに、電子署名を発行します。そして 残りのユーザー、アカウント、グループ・メンバーシップが正しいことを認証します。
- マネージャーがレビューと認証を完了した後、提案された変更（ユーザー削除、アカウント停止、グループ・メンバーシップ削除）はセキュリティ変更要求にひもづけられ、日立 ID アクセス･サーティファイアーワークフロー・エンジンに送信されます。これらの要求は、システム・オーナーや上層マネージャーなどから、ハイレベルな許可が通常必要になります。最終的にはユーザー、アカウント、グループ・メンバーシップが対象システムから削除されることになります。
- 認証は組織階層を追って収集されます。マネージャーAは自身の部下（B,C,…）が彼らのアカウントからサインオフしない限り、自身のアカウントからサインオフできません。これは組織の下層へレビュー・プロセスを完了するようにプレッシャーを与えます。これはSOX法やHIPAAなどの規制上の用件が上層のマネージャーの動機付けになっており、この動機が認証プロセスをグローバル全体での完了へ導きます。
- 直属の部下の数があまりにも大きくなるマネージャーはいないので、このプロセスは相当巨大な組織に対しても有効です。企業全体に渡る監査の完了に要する時間は、組織のサイズよりも組織構造の深さに依存します。
- アプリケーション中心認証Application-centric Certification
日立 ID アクセス･サーティファイアーは個別アプリケーション内でユーザーアカウントやセキュリティ・グループ・メンバーシップのレビューを要求するために構成されます。日立 ID アクセス･サーティファイアーワークフロー・エンジンによって、アプリケーション・オーナーはレビューの実行を促されます。
アプリケーション中心認証の日立 ID アクセス･サーティファイアープロセスは以下の様に実行されます。
- 日立 ID アクセス･サーティファイアーは定期的に（企業ポリシーによって四半期や半期など）アプリケーション・オーナーに自身のアプリケーションへログインするアカウントを所有するユーザーと、同アプリケーション内のセキュリティ・グループ・メンバーシップの一覧をレビューすることを求められます。レビューは一度にひとつのアプリケーションに対してのみ実行されます。
- アプリケーション・オーナーは、自身のネットワークもしくはログインIDとパスワードを用いて日立 ID アクセス･サーティファイアーへサインインして、認証プロセスを始めます。
- アプリケーション・オーナーははじめに自身のアプリケーションのログイン・アカウントを保有するユーザーのリストをレビューし、後ほど削除するために、アクセスがないユーザーにフラグをつけます。
- 残りのユーザーに対しては、アプリケーション・オーナーはセキュリティ・グループ・メンバーシップをレビューし、後ほど削除するために、不適切なグループ・メンバーシップにフラグをつけます。
- グループ・メンバーシップはID、詳細な名称、ビジネス機能に関する適宜長めな説明を含むHTMLページへのリンク（オプション）によって判別されます。
- アプリケーション・オーナーはレビュー・プロセスを完了し、「アクセスレビューが完了しました。」という旨のメッセージを読み終えたあとに、電子署名を発行します。そして残りのログイン・アカウントとグループ・メンバーシップが適切であることを認証します。
- アプリケーション・オーナーがレビューと認証を完了した後、提案された変更（アカウント停止、グループ・メンバーシップ削除）はセキュリティ変更要求にひもづけられ、日立 ID アクセス･サーティファイアーワークフロー・エンジンに送信されます。これらの要求は、各ユーザーのマネージャーなど、ハイレベルな許可が通常必要になります。
- アプリケーション中心認証は、適度なユーザー数を保有するアプリケーションに対して有効であることに注意してください。適度なユーザー数とはアプリケーション・オーナーがユーザーを個別で認識でき、どのアクセス権限が各ユーザーに適切であるか理解できるほどのレベルです。組織全体に及ぶような巨大なアプリケーションやシステムに対しては、以下の認証がより適切にサポートします。
- 組織中心認証
- グループ中心認証（適度なサイズのユーザー・グループ用）
- アプリケーション認証（アプリケーションがより細かい構成単位に区分され、それぞれにオーナーがいる場合）
- グループ中心認証
日立 ID アクセス･サーティファイアーは各グループ・オーナーによるセキュリティ・グループ内のユーザー・メンバーシップのレビューを要求するために構成されます。グループ・オーナーはこれらのレビューを日立 ID アクセス･サーティファイアーワークフロー・エンジンによって促されます。
グループ中心認証の日立 ID アクセス･サーティファイアープロセスは以下のように実行されます。
- 日立 ID アクセス･サーティファイアーは定期的に（企業ポリシーによって四半期や半期など）グループ・オーナーに自身のグループのメンバーシップを持つユーザーの一覧をレビューすることを求められます。レビューは一度にひとつのグループに対してのみ実行されます。
- グループ・オーナーは、自身のネットワークもしくはログインIDとパスワードを用いて日立 ID アクセス･サーティファイアーへサインインして、認証プロセスを始めます。
- グループ・オーナーはグループ・メンバーシップをレビューし、後ほど削除するために、不適切なものにフラグをつけます。
- グループ・オーナーはレビュー・プロセスを完了し、「アクセスレビューが完了しました。」という旨のメッセージを読み終えたあとに、電子署名を発行します。そして残りのグループ・メンバーシップが適切であることを認証します。
- グループ・オーナーがレビューと認証を完了した後、提案された変更（アカウント停止、グループ・メンバーシップ削除）はセキュリティ変更要求にひもづけられ、日立 ID アクセス･サーティファイアーワークフロー・エンジンに送信されます。これらの要求は、各ユーザーのマネージャーなど、ハイレベルな許可が通常必要になります。
- グループ数が多い環境では、既存のソースからグループ・オーナーシップに関するデータを記述すると便利です。日立 ID アクセス･サーティファイアーはグループ・オーナーに関するデータを対象システム（例：Active Directory）から引き出すことが可能です。これによって、グループ中心認証を数千の個別グループすべてに対して構成できます。
- グループ中心認証は、適度なユーザー数を保有するグループに対して有効であることに注意してください。適度なユーザー数とはグループ・オーナーがユーザーを個別で認識でき、どのアクセス権限が各ユーザーに適切であるか理解できるほどのレベルです。より大規模なグループに対しては、組織中心認証がより適切にサポートします。