Zero Trustアプローチへのアクセスポリシー確認

信頼スコアのパラメーターと重み付けを設定した後、組織内でポリシーベースのアクセス方式を実装するためのアクセスポリシーを作成し、生成されたユーザーおよびリソース信頼スコアを活用します。これらのアクセスポリシーを個別設定し、組織の個別ニーズとと要件を満たすことができることで、ユーザーに詳細かつ動的に対応するリソースへの適切なアクセス権限を付与できます。

「管理」>>「ゼロトラスト」>>「アクセスポリシー」に移動して、要件に応じた条件を持つ新しいアクセスポリシーを作成します。このZero Trustアプローチに作成したすべてのアクセスポリシーは、ユーザーとリソースへの有効なアクセスポリシー条件をチェックするため、組織の別の管理者による承認が必要です。

1.アクセスポリシーの作成

ポリシーベースのアクセス権限を実装するアクセスポリシーを作成するには、以下の手順を実行します：

1. 「管理」>>「ゼロトラスト」>>「アクセスポリシー」に移動します。
2. 開いたページで、［追加］をクリックし、［アクセスポリシー］を作成します。
3. 開いたページで：
   1. ポリシー名と説明を入力します。
   2. このアクセスポリシーを承認してその後で実装する承認者を、承認要求の受信者フィールドから選択します。
      

      メモ：

      アクセスポリシーを作成するには、最低1つの条件が必要です。

1.1 アクセスポリシー条件の作成

アクセスポリシーの条件を作成するには、以下の手順を実行します：

1. ［新しい条件］をクリックし、条件を作成します。
2. 開いたページで、以下の必要なフィールドに入力します：
   1. 条件名 - 選択した条件名を入力します。
   2. 説明 - 将来の参照のために、条件の詳細な説明を入力します。
   3. 既存の条件をテンプレートとして使用します。 - アクセスポリシーについて以前条件を作成している場合は、このフィールドに表示されます。これは、ドロップダウンから新しい条件へのテンプレートとして使用できます。
      

   4. メモ：

      1. 要件に応じて、アクセスポリシーに複数の条件を作成することができます。
      2. アクセスポリシーに複数の条件がある場合、ユーザー/リソースは、各アクセス権限を取得するため、アクセスポリシーの条件にすべての構成済条件を満たしている必要があります。

1.2 条件と条件式の定義

次に、このアクセスポリシー条件から、さらに許可されたアクセス権限を取得するために満たされている必要があるこのアクセスポリシー条件の条件を入力する必要があります:

1. パスワードポリシー[C1] - このフィールドで、パスワードポリシーの強度を選択することができます。パスワードポリシーは、アクセス権限をユーザーに付与するアカウントのパスワード強度を確保するためのものです。
   動作のしくみ
   低い強度を条件C1として選択し、このアクセスポリシーが適用されるリソースが高い強度を有する場合、条件C1は承認されます。ただし、高い児湯度を選択し、アクセスポリシーが適用されるリソースが低い強度を有するバイア、この条件は満たされません。
2. PAM360 アクセス制御[C2] - アカウントまたはリソースがアクセス権限を付与するのに必要なアクセス制御すステータスを選択することもできます。アカウントまたはリソースのアクセス制御ステータスは、管理者がZero Trustアクセスポリシー条件を適用した後、制御されたレベルのアクセスを確保します。
   動作のしくみ
   ［無効化］を選択する場合、条件は、このアクセスポリシーが実装されるアカウントまたはリソースレベルのアクセス制御構成には関係なく、有効とみなされます。ただし、［有効化］を選択し、このアクセスポリシーが対象とするアカウントまたはリソースがアクセス制御を構成していない場合、その条件は満たされません。
3. ユーザー信頼スコア[C3] - ここでは、このアクセスポリシーからアクセス特権の取得を試行するユーザーの最低信頼スコアを定義できます。高い値または中間の値を条件C3として入力できます。
4. リソース信頼スコア[C4] - ユーザー信頼スコアと同様、ここでは、アクセス権限がこのアクセスポリシーから与えられるリソースのリソース信頼スコアを定義できます。条件C4として、より大きい値または範囲内の値のいずれかを指定できます。
5. 基準式 - この基準式オプションを使って、アクセスポリシーの条件での条件の(C1、C2、C3、およびC4)重要度をあり方をカスタマイズできます。AND/ORボタンを使って、維持するか、［Edit］オプションを使って、条件の重要度を手動で設定できます。例. [C1または(C2とC3)またはC4]

1.3 条件式が満たされた場合の許可されるアクセス

条件の適用が必要な各ユーザーの要件にあわせて、ここでアクセス権限を有効にすることができます。上で定義した基準式が満たされている場合、この条件に関連づけられたユーザーには、この条件で有効にしたアクセス権限が与えられます。

1. RDPアクセス - チェックボックスを有効にすると、ユーザーは、定義された基準式を満たしたときにこのアクセスポリシーで構成されたリソースへのRDPセッションを行うことが許可されます。
2. SSHアクセス - このオプションでは、ユーザーは、定義された基準式を満たしたときにこのアクセスポリシーで構成されたリソースへのSSHセッションを行うことが許可されます。

   メモ：

   ユーザーは、有効になっているSSHアクセスで構成された基準式を満たさない場合、すべてのSSH、Telnet、および,レガシーSSH接続の実行を制限されます。

3. リモートアプリ - このアクセスを有効にすると、ユーザーは、定義された基準式を満たすときにターゲットリソースで構成したリモートアプリケーションへの接続を許可されます。
4. SQLアクセス - このチェックボックスを有効にすると、ユーザーは、すべての定義された条件を満たしたときにこのアクセスポリシーで構成されたSQLリソースへのSQLセッションを行うことが許可されます。
5. パスワードのリセット - このアクセスでは、各ユーザーとリソースが定義された基準式を満たしたときリモートパスワードリセットを実行する権限がユーザーに付与されます。

   メモ：

   スケジュール設定されたパスワードリセットが構成されている場合、Zero Trustで構成されたアクセスポリシー条件の影響は受けません。ユーザー/リソースが構成された基準式を満たさない場合も、パスワードリセットは、スケジュール設定されたパスワードリセットから実行されます。

6. ランディングサーバーへのアクセス - これを有効にすると、条件式が満たされた場合に、プライマリランディングサーバーが設定されたデータセンター内のIT資産にユーザーがリモートアクセスできるようになります。

   メモ：

   ランディングサーバーから構成されたリソースにアクセス権限を達成するには、ポリシーベースのアクセス権限条件と関連づけられている場合は、ランディングサーバーとターゲットリソースの両方がその定義された条件式を満たしている必要があります。

7. JIT権限の昇格 - このオプションは、すべての条件がこの条件に追加された表現にしたがって満たされている場合、PAM360のアカウントへのジャスト・イン・タイム権限昇格アクセスが可能になります。
8. セルフサービス権限昇格 - Linux (リソースがセルフサービス権限昇格で構成されている場合) - このオプションを有効にすると、ユーザーは、与えられた基準式が満たされている場合、高権限のユーザーアカウントのパスワードを共有することなく、昇格されたアカウント権限を実行することができます。Linux でのセルフサービス特権昇格の設定の詳細については、こちらをクリックしてください。

   メモ：

   1. 条件でこのアクセス権限を有効にする場合、ユーザーがこのアクセス権限を使用できるようにするには、SSHアクセスを有効にする必要があります。
   2. Remote Connect、PuTTYなどの外部SSHクライアントを介してユーザーがリモートセッションを実行できるようにする場合（セルフサービス特権昇格 - Windows/Linux向け）、ユーザー信頼スコア [C3] 条件を無視する必要があります。ユーザー認証パラメーターは、そのような場合、認証できません。
9. セルフサービス権限昇格 - Windows (リソースがセルフサービス権限昇格で構成された場合) - このオプションを有効にすると、基準式が満たされている場合、ユーザーは、特定タイプのファイル/アプリケーション(.cmd、.exe、.msc、.msi、および.bat)を昇格アカウント権限で、高い権限アカウントのパスワードを共有することなく実行できます。セルフサービス特権昇格の設定の詳細については、こちらをクリックしてください。

   メモ：

   このアクセス権限をいずれかの条件で有効にしている場合、このアクセス権限がユーザーに機能するには、RDPアクセスを有効にする必要があります。

1.4 条件が満たされない場合のアクション

このセクションで選択する操作は、ユーザー/操作が条件について上で定義した基準式を満たしていない場合に実行します。

1. 監査を実行し、アクセスを許可する - このオプションには、ユーザーとリソースのアクティビティの監査実施、およびアクセスポリシー条件で定義した基準式を満たしている場合にリクエストされたものへのアクセス権の付与が含まれます。
2. 警告メッセージ発行し、アクセスを許可する - アクセスポリシー条件で構成した基準式が満たされていない場合、このオプションでは、ユーザーのリソースへのアクセスは許可しますが、同ユーザーに警告するため、警告メッセージの送信も行います。
3. ユーザーに理由を尋ねてアクセスを許可する - このオプションを有効にすると、ユーザーが条件の構成された基準式を満たしていない場合、アクセスリクエストの理由入力が求められます。ユーザーが理由を入力する場合、アクセス権限は提示した理由の場合は許可されますが、それ以外では、アクセスは拒否されます。

   メモ：

   上の3つのオプションはすべて、各リソースにユーザーアクセス権を付与する前に、初期段階で検証されます。アクセスを許可された後、条件のいずれかが失敗した場合、セッションは理由または警告なしで続行され、この操作は、当面のセッションでは有効になります。

4. アクセスを拒否/終了する - このオプションには、リソース全体へのアクセスが含まれ、ユーザーは、基準式が満たされていない場合はアクセスは許可されません。
5. アクセスを拒否/終了し、ユーザーに警告メールを送信する - 条件の構成された基準式が満たされていない場合、このオプションでは、リソースへのアクセスが拒否され、ユーザーに警告のため、警告メッセージが送信されます。

   メモ：

   上の2つの操作は、リソースの初期認証およびアクティブ権限セッション中に実行されます。構成された基準式がアクティブ権限セッション中に失敗する場合、各有効化された操作（終了または終了に伴う警告メッセージ）が実行されます。

適用先：このオプションでは、ポリシーベースのアクセス権限要件にあわせて、ユーザーを条件に含める、または条件から除外することができます。ユーザーと条件とを関連づけることで、関連ユーザーグループから、ユーザーに各アクセスポリシーを実行することができます。

複数の条件ケースを含むアクセスポリシーの作成方法については、こちらのリアルタイムシナリオヘルプドキュメントを参照してください。

2.複数の条件をアクセスポリシーとして作成するときは要注意

1. アクセスポリシー条件を作成するとき、組織のすべてのユーザーまたはユーザーグループから一部の特定ユーザーについて実行することができます。別のユーザーグループからすでに含まれている数名のユーザーを同じ条件テンプレートを使ってアクセスポリシーから除外する場合、 オプション［ユーザーグループを除外する］で新しい条件を追加することができます。
2. アクセスポリシーに下の2つの条件が同じユーザーに適用されている場合：
   1. ユーザー信頼スコアが70より大きい場合、RDPとSSHアクセスを許可します。それ以外は、監査を実施し、アクセスを許可します。
   2. ユーザー信頼スコアが50より大きい場合、RDPアクセスを許可します。それ以外は、アクセスを拒否/終了します。
   RDPアクセスが、ユーザー信頼スコアが50より大きい場合に許可あれ、70より小さい場合にセッションを拒否/終了するという具合に機能します。SSHアクセスは、ユーザーが条件の1つで有効になっていないため、そのユーザーには許可されません。

   メモ：

   アクセスポリシーのいずれかの条件においてユーザーにアクセス許可権限が有効になっていない場合、そのアクセスポリシーでは無効な権限とみなされます。上の例では、RDPとSSHアクセスについて、さまざまな条件を持つ同じユーザーに一意のアクセスポリシーを作成することを推奨します。

3. 同じユーザーに異なる条件と操作を持ち、複数の条件があるアクセスポリシーの場合、そのアクセスポリシーの特権アクセス計算では常に、優先値が高い条件の操作を検討します。例. ユーザーグループを拒否/終了、除外する。
4. 基準式[C1またはC2およびC3とC4]は常に、AND/OR条件には関係なく、右から左に認証されます。基準式編集オプションを使い、'()'ブラケットを使って、条件認証への優先度を定義することができます。例. [C1または(C2とC3)またはC4]
5. Windows または Linux 上でセルフサービス特権昇格が設定されたリソースでは、アクセスポリシーの条件計算にはログイン中のユーザーアカウントの信頼スコアが使用され、特権昇格に使用されるユーザーアカウントのトラストは使用されません。