PAM（Privileged Access Management、特権アクセス管理）は、重要なシステムに対する管理者アクセスを管理・監視するための仕組みです。管理者に強い権限を持たせ続ける運用を見直し、必要な作業のために、必要な範囲と時間だけ利用させることを目指します。
英国NCSCは、PAMの中心に「必要なときだけ」のJust in Timeと、「必要な権限だけ」のJust enoughという二つの考え方を置いています。NCSCのPAM指針
企業で導入を検討するときは、誰に権限を渡すかに加え、何を根拠に承認し、終了後に何を確認するかまで決めます。この記事では、その運用を組み立てる確認表を示します。
PAMで管理する対象を決める
まず、自社で「特権」として扱う操作を具体化します。対象の候補は、本番サーバーの設定変更、クラウドの権限変更、データベースの管理、セキュリティ設定の変更などです。「管理者」という名前だけで対象を決めず、変更できる範囲と業務への影響を書き出してください。
人が使う管理用アカウントと、プログラムが使う認証情報も分けて整理します。以下の手順は、人による管理作業を中心とした設計例です。自動処理については、人の都度承認をそのまま当てはめず、利用主体、用途、有効期間、更新方法を別途検討します。
現在付いている権限の必要性を確認する方法は、アクセス権の棚卸しで整理しています。その結果を使い、PAMでは作業の都度、どの権限をいつ使えるようにするかを設計します。
PIMやSSOとの関係は、実際の機能で確認する
Microsoft Entra PIMは、時間と承認に基づくロールの有効化、MFAの要求、利用理由の入力、監査履歴の取得などを提供しています。これは特権を一時的に有効化する具体的な実装例です。Microsoft Entra PIMの概要
製品を比較する際は、PAM・PIMという呼称だけで選ばず、対象システムの権限制御と操作の記録をどこまで担うか確認します。また、認証の連携と特権の利用条件は分けて設計してください。認証連携の設定を整理する場合は、SAMLによるSSO連携も参照できます。
申請から利用終了までを一つの流れにする
次の流れは、本記事の運用設計案です。各社の作業内容に合わせて、承認条件や担当を具体化してください。
- 申請：申請者、対象環境、作業内容、必要な権限、開始・終了予定、関連チケットを記録する。
- 承認：作業の必要性、権限の範囲、時間を確認し、承認者と判断結果を残す。
- 利用開始：本人確認を行い、承認された条件で権限や接続を有効にする。
- 利用中：申請と利用記録を対応づけ、予定外の変更が必要なら追加の判断を受ける。
- 終了確認：権限の失効と接続の状態を確かめ、作業結果と記録の参照先を残す。
例えば「本番環境の設定変更」とだけ申請するのではなく、対象システム、変更する設定、必要なロール、予定時間まで書くと、承認者が範囲を判断できます。時間が足りない場合の延長申請も、最初の運用設計に含めておきます。
Microsoft Entra PIMでは、利用資格を持つ状態と、ロールを有効化して利用できる状態を区別します。有効化後は事前に設定された期間、ロールを使用できます。自社の設計でも「申請できる人」と「今、特権を使える人」を分けて記録すると、確認対象が明確になります。PIMの用語と割り当て
承認の記録と操作の記録を分けて確認する
「誰が承認したか」と「利用者が何をしたか」を、それぞれ追えることを受入条件にします。承認履歴を取得する機能と、接続先の操作を記録する機能は、調達時にも別の項目として確認してください。
HashiCorp Boundaryの資料では、セッション・認可のメタデータ、管理者によるセッション終了、セッション記録、Vaultと連携した認証情報の受け渡しが説明されています。こうした機能は、採用する製品と構成の仕様に照らして確認します。BoundaryのPAM機能
監査の設計では、申請番号から利用者、接続先、開始・終了時刻、対象側の操作ログへたどれるかを試します。画面記録を使う場合も、必要な操作が追えるか、機密情報が記録に含まれないかを確認し、閲覧できる担当者と保存期間を決めます。保存期間は一律の日数を置かず、社内の監査・調査要件から設定してください。
導入前に埋める確認表
次の表の「記入する内容」を自社の値に置き換えてください。実装担当だけで決めず、業務上の承認者と記録を確認する担当も参加して埋める想定です。
| 設計項目 | 記入する内容 | 受入時に確認すること |
|---|---|---|
| 対象範囲 | システム名、環境、管理操作、利用者 | 対象外の環境へ権限が広がらないか |
| 申請条件 | 作業内容、チケット、権限、予定時間 | 不足した申請を差し戻せるか |
| 承認 | 承認者、代理者、時間外の連絡先 | 承認前に対象作業を実行できないか |
| 利用条件 | 本人確認、許可端末、接続経路 | 許可していない経路から利用できないか |
| 終了と延長 | 有効期間、延長条件、終了確認者 | 期限後の権限と既存接続を確認できるか |
| 利用監査 | 申請とログの対応方法、確認担当 | 一つの申請から実操作を追えるか |
| 記録保管 | 保存先、保存期間、閲覧権限 | 必要な記録を検索・取得できるか |
| 緊急対応 | 発動条件、利用者、事後確認者 | 通常経路が使えない場合に復旧できるか |
権限の有効期間が終了した場合の確認では、新しい操作や接続だけでなく、開始済みの接続をどう扱うかも試験項目にします。「失効」という表示だけで完了にせず、対象システムで期待した制御になっていることを確かめましょう。
緊急対応とPAM自体の管理も決める
NCSCは、PAM自体の保護と可用性を検討し、必要に応じて高可用性構成や保護された緊急アクセス手順を用意するよう示しています。NCSCの実装指針
自社の手順には、通常の承認者が不在のときと、PAMが使えないときを分けて書きます。緊急アクセスの発動条件、利用できる担当、記録方法、復旧後の確認を決めてください。例外を使った後に権限や認証情報をどう戻すかも、確認対象に含めます。
委託作業については、自社側が対象・権限・利用時間を承認し、委託先が作業者と結果を報告するなど、責任分担を明文化します。これは本記事の分担例であり、契約と実際の運用に合わせて調整してください。
一つの作業で申請から監査まで試す
最初の試行対象には、必要な権限と終了条件を具体化できる管理作業を選びます。正常な申請だけでなく、承認却下、利用時間超過、作業延長、緊急アクセスも試験します。
導入の完了条件は、ログインできることだけではありません。承認した範囲で作業でき、終了後に権限の状態と作業記録を確認できることまでを、確認表で合意しておきましょう。