アクセス制御ワークフロー

あらゆる IT 環境において、アクセス制御は、誰が、どのような条件で、どの程度まで特権リソースにアクセスできるかを定義する基本的なセキュリティ原則であり、無条件アクセスを制限しながら、許可されたユーザーだけが重要なリソースにアクセス、変更、または管理できるようにします。明確に定義されたパスワード アクセス制御ワークフローがないと、特権アカウントへの無制限のアクセスなど重大な脆弱性が生じ、システムの侵害や財務的損失につながります。

PAM360 の アクセス制御ワークフローメカニズムは、ユーザーに特権アカウントへのアクセスを許可する承認メカニズムを実装することで、これらのリスクを軽減します。このメカニズムにより、認可されたユーザーのみが構造化されたワークフローを通じて特権認証情報にアクセスできるようになるため、不正アクセス、内部脅威、認証情報の不正使用のリスクが軽減されます。この構造化されたアプローチにより、特権リソースへのアクセスが保護され、セキュリティの脆弱性が最小限に抑えられ、必要な場合にのみ定義された条件下でアクセスが許可されます。

このドキュメントでは、次のトピックについて詳しく説明します。

1. 用語集 - アクセス制御ワークフロー
2. 役割と権限
3. PAM360 のアクセス制御メカニズムを理解する
4. アクセス制御ワークフローにおける優先順位
5. アクセス制御ワークフローの制限

1.用語集 - アクセス制御ワークフロー

以下の表は、パスワード アクセス制御ワークフローのさまざまな段階を表すために使用されるさまざまな用語と、各段階の簡単な説明を示しており、ユーザーがパスワード アクセス要求のステータスを正確に解釈するのに役立ちます。これらの段階は、承認、使用、完了の各フェーズを進むパスワード アクセス要求のステータスと進行状況を反映します。

2.役割と権限

デフォルトでは、特権管理者、管理者、パスワード管理者、Cloud Administratorの役割を担う各ユーザーは、パスワード アクセスの範囲と制限を定義することで、アクセス制御ワークフローを構成および管理できます。これらの事前定義された役割に加え、PAM360 でアクセス制御ワークフローを構成または管理するために、次の権限が有効になっている役割をカスタマイズ作成できます。

1. 設定 - アクセス制御ワークフローを設定。
2. パスワードアクセス要求を承認 - ユーザーによって提出されたパスワード アクセス要求を承認、拒否、または修正。

3.PAM360 のアクセス制御ワークフロー

特権リソース/アカウントのアクセス制御ワークフローが設定されると、特権パスワードへのアクセスを必要とするエンドユーザーは、排他的アクセスを取得するためにアクセス制御ワークフローに従う必要があります。PAM360 のアクセス制御ワークフローでは、特権パスワードへのアクセスが次のように承認ベースのプロセスを通じてのみ制御および許可されることが保証されます。

1. 共有された特権リソースへのアクセスをユーザーが必要とする場合、PAM360インターフェースを通じてパスワードにアクセスするのに必要な時間枠を決めて要求を提出する必要があります。
2. その後、要求は、アクセス制御の構成中に選択されたリソース/アカウントの承認権限を持つ管理者に転送されます。
3. 特権管理者はユーザーによるパスワードアクセス要求を確認し、その要求を承認、拒否、または更新できます。
4. 指定された管理者全員が要求を承認した場合にのみアクセスが許可されます。指定された承認管理者の 1 人でも要求を拒否した場合、ユーザーはパスワードへのアクセスを拒否され、要求は無効になります。
5. 承認されると、ユーザーは指定されたアクセス期間内にパスワードをチェックアウト（使用）できます。
6. 使用後は、ユーザーは手動でパスワードをチェックイン（返却）できます。承認されたアクセス期間が過ぎると、システムは自動的にユーザーのパスワードへのアクセスを取り消し、ユーザーをリモート セッションから終了します。
7. 管理者は、パスワードを強制的にチェックインすることにより、いつでも手動でユーザーのパスワードへのアクセスを取り消すこともできます。
8. 排他的使用が終わる度に、システムは設定されたパスワードポリシーに基づいてパスワードをリセットし、セキュリティを維持します。
9. ユーザーがパスワードに再度アクセスする必要がある場合は、アクセス制御ワークフローに従って新しいアクセス要求を送信する必要があります。

このワークフローにより、特権パスワードの不正使用を防ぎながら、安全で時間制限のあるアクセスが保証されます。

4.アクセス制御ワークフローにおける優先順位

PAM360 では、アクセス制御ワークフローをアカウント レベルとリソース レベルの両方で構成できるため、同じリソース内のユーザー アカウントに対して異なるアクセス制御メカニズムを柔軟に構成できます。アクセス制御ワークフローがアカウントおよびリソース レベルで構成されている場合、優先順位がどのように機能するかを理解しましょう。

1. アクセス制御がアカウント レベルとリソース レベルとで適用される場合、アカウント レベルの設定がリソース レベルの設定よりも優先されます。たとえば、アクセス制御がリソース レベルで適用される場合、その設定はリソース内のすべてのアカウントに適用されます。ただし、同じリソース内のアカウントに対してアクセス制御が設定されている場合、アカウントレベルの設定がそのアカウントのリソースレベルで適用された設定よりも優先されます。
2. リソース レベルで設定されたアクセス制御を無効にしても、同じリソース内のアカウントに対してアカウント レベルで適用されるアクセス制御設定には影響しません。
3. アカウント レベルで設定されたアクセス制御ワークフローが無効化されると、リソース レベルで適用されるアクセス制御設定がそのアカウントに適用されます。
4. リソース内の特定のアカウントに高いレベルのセキュリティが必要な場合、アカウント レベルでアクセス制御を構成すると便利です。

例として、複数のアカウントを持つ組織内の特権リソースである PAM-Win10 を考えます。リソース レベルでアクセス制御が適用される場合、PAM-Win10 内のすべてのアカウントはデフォルトで同じアクセス制御ポリシーを継承します。ただし、特定のアカウントに厳格なセキュリティ対策が必要な場合は、アカウント レベルでアクセス制御を適用できます。

例えば、PAM-Win10内の管理者アカウントがより高いセキュリティレベルを必要とする場合（例えば、アクセス許可前に少なくとも4人の管理者が承認すべき場合）、アクセス制御の設定はアカウントレベルで適用できます。この設定は管理者アカウントのみのリソースレベルで強制されたアクセス制御を上書きします。ただし、PAM-Win10 内の他のすべてのアカウントは、リソース レベルで設定されたアクセス制御ポリシーに引き続き従います。

5.アクセス制御ワークフローの制限

現在、PAM360 のアクセス制御ワークフローでは、高可用性 (HA) セカンダリ サーバーで操作する場合に互換性の問題が発生します。プライマリ サーバーがオフラインになった場合、ユーザーはアクセス制御ワークフローを利用してパスワード アクセスを要求できなくなります。この問題を解決するために、管理者は一時的な回避策を使用して、セカンダリ サーバーでアクセス制御ワークフローを有効にすることができます。ただし、ダウンタイム中に承認された要求を注意深く追跡する必要があります。回避策を実装するには、以下の手順に従ってください。

1. セカンダリ サーバーの PAM360 インストール ディレクトリに移動し、conf フォルダを見つけます。
2. テキスト エディターを使用して system_properties.conf ファイルを開きます。
3. ファイルの末尾に PwdAcsSecSrvr.AcsCtrl=true のシステム プロパティを追加し、変更を保存します。
4. 変更を有効にするには、セカンダリ サーバーで PAM360 アプリケーションを再起動します。

プライマリ サーバーが復元されると、ダウンタイム中にセカンダリ サーバーからチェックアウトされたパスワードに対して、自動パスワード チェックイン プロセスが効率的に機能しなくなります。セキュリティとコンプライアンスを維持するために、管理者はダウンタイム中にチェックアウトされたパスワードを手動で確認し、すべてのアクセス要求が記録されているか確認し、不正アクセスを防ぐ必要があります。この回避策に従うことで、管理者はプライマリ サーバーがダウンした場合でもセカンダリ サーバーのアクセス制御機能を維持できます。