棚卸マニュアル¶

1. 概要¶

1.1 目的¶

組織の変更や異動に伴い、過去に付与された不必要な権限がユーザーアカウントに残存し続ける状態は、内部不正やサイバー攻撃の被害を拡大させる重大なリスクとなります。

この課題を解決するため、定期的にアカウントの状態やロールの割り当て状況を確認する「ユーザー棚卸」を実施し、現状の権限が業務実態に即しているかを監査する必要があります。

IDApex IGAでは、「アクセス認証（Certification）」で、承認者レビューを経て却下された権限を自動で剥奪するプロセスを構築可能です。

本書では、IDApex IGAでのユーザー棚卸の実施方法について説明します。

1.2 前提条件¶

本書記載の作業を開始するための前提条件です。

前提条件	備考
データの最新性	対象システムの同期が完了し、IDApex IGA内データが最新であること。

1.3 全体の流れ¶

本業務におけるユーザー棚卸は、以下の5つのフェーズに沿って実施します。

棚卸対象（キャンペーン）の定義

棚卸を行う対象範囲を定義した、「キャンペーン定義（Certification Campaign Definition）」を作成します。設定できる主な内容を下記にまとめております。

設定項目	例	推奨
棚卸対象となるオブジェクトのタイプ	ロール、組織など	-
レビューワー	オブジェクトに設定された承認者ユーザーアカウント	-
権限剥奪の判断基準	その権限に対し、拒否ボタンを押下したレビューワーがいなければ権限保持	拒否ボタンを押下したレビューワーがいなければ権限保持を推奨
キャンペーンの有効期限や繰り返し回数の設定	2週間ごとに棚卸を繰り返す（P14D）	-

オブジェクト: ユーザー、ロール、組織などの権限付与対象のこと。

承認ルートの設定とアクティベーション確認

棚卸の判断を行う「承認者（レビューワー）」を割り当てます。
対象ユーザーの上長や、部署のマネージャー、システム管理者を指定する想定です。
棚卸（認証）キャンペーンの開始

キャンペーン定義からキャンペーンを開始します。
対象の承認者に対して、IDApex IGAより棚卸依頼の通知が送信されます。
承認者は自身のダッシュボードから、管轄ユーザーの権限一覧を確認できるようになります。
レビュー（承認・拒否）の実行

承認者は、各ユーザーに付与されている権限（ロールや組織など）が現在の業務に必要かどうかを一点ずつ判断します。役割に応じたボタンを押下することで、権限の保持・剥奪の判断を行います。
権限の修復

キャンペーンを終了（クローズ）すると、「拒否」と判断された権限は、自動的に対象ユーザーから剥奪されます。

「修復（Remediation）」とは、棚卸レビューの結果に基づいて権限の剥奪などを自動で実施し、「承認された権限のみが残る状態」に整えることを指します。

2. キャンペーン定義の作成¶

本項では、IDApex IGAでユーザー棚卸に必要な設計図である「キャンペーン定義」を作成する方法について説明します。

2.1 キャンペーン定義の設定¶

ここではIDApex IGAで「キャンペーン定義」の設定方法および設定内容について説明します。

IDApex IGAの管理画面にログインします。
「キャンペーン定義」を開きます。緑色の＋ボタンを押下します。
下記の画面にて、設定します。

下記を参照し、設定を更新してください。

基本情報

項目	設定内容	備考
名前	任意	-
説明	任意	-
オーナー	任意	-
ステージの結果から全体的な結果を導き出すためのストラテジー	誰も拒否しなければ受け入れる	-
修復	Automated remediation (non-conformant items are automatically removed)	修復時に自動で権限剥奪される
キャンペーン終了後の自動繰り返し（例：P14D）	任意	P14D: 今の日付から14日後
自動反復回数の制限	任意	キャンペーン終了後に、再度繰り返し行う際の繰り返し回数
全体の反復回数制限	任意	キャンペーン終了後に、再度繰り返し行う際の繰り返し回数
最後に開始したキャンペーン	～	自動で割り振られる
最後に終了したキャンペーン	～	自動で割り振られる

重要

「ステージの結果から全体的な結果を導き出すためのストラテジー」は、必ず「誰も拒否しなければ受け入れる」に設定してください。未設定の場合、レビューワーが全てのオブジェクト（権限）の承認ボタンを押さないと、対象者の権限が剥奪される可能性があります。棚卸し対象が膨大な場合、意図しない権限が大量に剥奪される可能性があるためご注意ください。

スコープ定義

項目	設定内容	備考
スコープ名	任意	-
スコープの説明	任意	-
オブジェクトタイプ	ユーザー、ロール、組織、サービス	棚卸するオブジェクトのタイプを選択可能
選択オブジェクトをフィルターする	Groovyコード	コードで特定の組織に所属するオブジェクトのみ選別できる
アサインまたはインデュースメントを含める	☑ アサイン ☑ インデュースメント	直に付与した権限もしくは配下権限を対象にするか選択可能
ターゲットタイプを含める	□ リソース ☑ ロール □ 組織 □ サービス □ ユーザー	リソースタイプで選択可能
アクティベーション・ステータスで含める	□ 有効なアイテムのみ	有効化されているリソースのみ棚卸対象とするか選択可能
リレーション	いずれか	オーナー、承認者、管理者などリソースに割り振られた許可の種類を指定

ステージ定義

項目	設定内容	備考
名前	任意	-
説明	任意	-
期間	任意	レビュー終了期限。P14D(14日後)といった方式で指定
〆切の前に通知	☐	レビューの終了期限が近付いた際のメール通知の設定
決定を下さない場合にのみ通知する	任意	-
レビューワーの仕様名（オプション）	任意	-
レビューワーの仕様の説明（オプション）	任意	-
アサイン対象オブジェクトのレビューワー	□ ターゲット・オーナーを使用する ☑ ターゲット承認者を使用する	設定すると、各オブジェクトのガバナンスに登録されている承認者、もしくはオーナーがレビューワーとして自動で割り振られる
このオブジェクトにアサインされているレビューワー	□ オブジェクト・オーナーを使用する □ オブジェクト承認者を使用する	どちらもチェック外す
このオブジェクトにアサインされている管理者に基づくレビューワー	□ オブジェクト管理者を使用する管理者を決定するために使用される組織関係のタイプ（オプション） □ 管理者が自分のアサインを承認できるようにする	任意
デフォルト・レビューワー・リファレンス	任意	レビューワーが割り振られない場合のレビューワーを設定
追加レビューワー・リファレンス	任意	自動で割り振られるレビューワー以外に、レビューワーを明示的に追加可能
複数のレビューワーの場合の決定集約ストラテジー	誰も拒否しなければ受け入れる	複数レビューワーがいる場合のレビュー結果の決定基準
レビューワーがアサインされていない場合の結果	承諾	レビューワーが自動的に割り振られない場合の棚卸基準
レビューを停止する		調整不要

デフォルトでは承認者をレビューワーにしておりますが、管理者やオーナーをレビューワーにすることも可能です。

3. 棚卸の許可設定¶

本項では、権限棚卸をするために必要な許可をレビューワーに割り当てる方法について説明します。

3.1 ユーザーへの必要なロール付与¶

ここでは、棚卸を行うユーザーアカウントに必要な権限を付与する方法について説明します。下記2つの方法を用意しております。

パターン1.

対象ユーザーアカウントに、下記のロールをアサインします。

ロール名	説明
Reviewer	権限棚卸のレビューをするためのロール。

パターン2.

CSVリソース経由で棚卸に必要なロールが付与されていることを確認します。ユーザーCSVの役職コード列で特定の役職コードと一致するユーザーアカウントに、上記のロールが自動付与されます。

4. キャンペーンの実行¶

本項では棚卸を実施する方法について説明します。

4.1 キャンペーン定義の実行¶

ここではIDApex IGAのキャンペーン定義の実行方法について説明します。

「アクセス認定」 > 「キャンペーン定義」を開きます。
作成したキャンペーンの右側の「➤」を押下します。

下記のように表示されれば、キャンペーン定義からキャンペーンを正常に作成できています。

4.2 キャンペーンの作成¶

作成されたキャンペーンの右側の「キャンペーンの開始」を押下します。
下記の画面になれば、正常に動作しております。

4.3 ユーザー棚卸¶

ここでは、レビューワー側で行う操作について説明します。

レビューワーのユーザーアカウントでログインします。
「アクセス認定」>「私のアイテム」を開きます。

権限を削除するオブジェクトの場合は右側の「取り消し」ボタンを押下してください。「コメント」欄にコメントを記載できます。

また、各ボタンの意味合いは次の通りです。

ボタン	役割
承諾	権限を維持します
取り消し	権限を削除します
応答無し	レビューワーの操作が行われなかった場合に、自動で適用されます

「アクセス認定」 > 「キャンペーン」から該当のキャンペーンを開きます。
下記画面で、正しくレビューできていることを確認します。
下のステージのクローズ」ボタンを押下し、ステージをクローズします。
「修復の開始」を押下します。ボタンを押下することで、棚卸レビューによって「拒否（Revoke）」と判断された権限が、各ユーザーアカウントから即座に自動削除されます。

キャンペーン定義の「基本情報」の「修復」設定で「Automated remediation」以外を選択した場合は、自動削除が実行されません。その場合、各リソース（連携先システム）に対して手動で権限削減作業を行う必要があります。