アイデンティティおよびアクセス管理（Identity and Access Management）評価のための重要な質問

Aug 26, 2025

アイデンティティおよびアクセス管理（Identity and Access Management、IAM）の評価により、組織はセキュリティ、コンプライアンス、利便性のバランスを取れるソリューションを選択しやすくなります。評価すべき主な機能には、デプロイモデル、オンボーディングおよびデプロビジョニング、ロールベースのアクセス制御、自動化されたワークフローなどがあります。 Zero Trust のサポート、パスワード管理、MFA、SSO、BYODの互換性が含まれます。強力なIAMツールは、特権の悪用やセキュリティ上の弱点（ギャップ）を防ぎながら、将来のビジネスニーズに対応できるよう、監視、監査、コンプライアンス報告、そして拡張性も提供しなければなりません。

適切なアイデンティティおよびアクセス管理（Identity and Access Management、IAM）ソリューションを選ぶことは重要な作業です。組織は、ユーザーアカウントやその他のアイデンティティを適切に管理し、データ、アプリケーション、およびその他のリソースに対して、必要な範囲で正確に適切なアクセス権を持てるようにする必要があります。ユーザーが必要な権利をすべて持っていなければ仕事を行えず、業務プロセスに支障が出ます。さらに、アカウントに権限が多すぎると、アカウントの所有者によって、あるいはそれらを侵害して奪取した攻撃者によって悪用される可能性があり、その結果、セキュリティ侵害やコンプライアンス違反につながります。

手作業のプロセスはミスが起こりやすく、現代の組織が求めるニーズに対応するためのスケールにも単純に対応できません。だからこそ、組織には目的に合わせて設計された IAM ソリューションが必要です。この記事では、候補となる IAM ツールを評価する際に確認すべき、重要なアイデンティティアクセス管理の質問を詳しく説明します。

IAM ソリューションを選ぶ際に見るべきポイント

組織にとって最も適した IAM ソリューションを選ぶために、各候補ツールについて以下の重要な側面を必ず評価してください。

デプロイモデル
ユーザーのオンボーディング、オフボーディング、再プロビジョニング
ロールベースのアクセス制御
自動化されたワークフロー
Zero Trust に対応
セルフサービスを含むパスワード管理
幅広いアプリケーションに対応し、APIも提供
パスワードレス認証を含む認証方法
シングルサインオン（SSO）のサポート
BYOD（Bring-your-own-device）のサポート
ユーザー体験への影響
可用性と信頼性
監視、監査、レポーティング
コンプライアンス要件および業界標準への準拠
将来のニーズに対応できる能力
料金モデル

導入モデル

最初に検討すべき IAM の問いの 1 つが、導入（デプロイ）モデルです。ソリューションはオンプレミスか、クラウドか、またはハイブリッドでしょうか。どのアプローチにも長所と短所があります。

オンプレミスとクラウドの違い

オンプレミスとクラウドの IAM 導入（デプロイ）モデルには、いくつかの重要な違いがあります：

	On-Premises	Cloud
Capital expenditure	You need to supply the server, hardware, and software needed to host the solution.	None
Maintenance	You need to manage solution updates, server hardware and software, storage, and data backups.	The vendor maintains the IAM solution and underlying infrastructure.
Control	The IAM solution and underlying infrastructure are entirely under your control. On-premises security software gives organizations complete control over their security infrastructure. They can customize configurations, policies, and settings according to their specific needs and requirements without relying on a third-party provider.	The vendor determines when to roll out updates and modify the infrastructure.
Access	You access the solution locally, with no internet required.	You can access the solution anytime through a web browser, so a reliable internet connection is needed.
Deployment time	Deployment is slower since you need to prepare one or more servers and install the solution. However, the time varies dramatically by vendor.	Deployment is much faster but still requires feature enablement and configuration.
Customization	On-prem solutions are highly customizable.	Cloud solutions are less customizable.
Data Sovereignty	Organizations have full control over their data and where it resides. This is particularly important for businesses operating in industries with strict regulatory compliance requirements or concerns about data privacy and sovereignty.	Data is kept in the cloud and it may be stored in multiple locations around the world, depending on the provider’s infrastructure. This can raise concerns about compliance with data sovereignty laws and regulations, as data might cross international borders.
Security Compliance	On-premises solutions may offer easier compliance with industry regulations and standards because organizations have direct oversight and control over their security measures. This can simplify the audit process and provide assurance to stakeholders.	Organizations are responsible for ensuring that their use of cloud services complies with industry and regulatory standards.
Network Performance	On-premises security solutions can offer faster network performance since they operate within the organization’s local network infrastructure. This can be advantageous for latency-sensitive applications or environments where network bandwidth is a concern.	Cloud-based solutions might introduce latency compared to on-premises solutions, especially if the cloud services are hosted in distant data centers.
Data Isolation	On-premises solutions keep data within the organization’s physical boundaries, reducing the risk of data exposure or unauthorized access that may be associated with transmitting data over the internet to a cloud service provider.	It depends on the cloud provider’s ability to safeguard the data from external and internal threats.

ハイブリッド

ハイブリッドの IAM ソリューションは、オンプレミスとクラウドベースの IAM アプローチの両方の要素を組み合わせて、現代の組織のニーズに対応します。これにより、オンプレミスの ID ストア（Active Directory のようなもの）と、クラウドベースの ID リポジトリ（Azure AD や AWS Directory Service など）の間でディレクトリ同期を容易にし、オンプレミス環境とクラウド環境の双方に対してユーザーのライフサイクル管理を一元化します。この選択肢により、規制対象またはその他の機微なデータに関するローカル制御を維持しながら、コストを最小限に抑えることができます。

ユーザーのオンボーディング、オフボーディング、および再プロビジョニング

あらゆる IAM システムの主要な機能の 1 つは、各ユーザーが適切なリソースへのアクセス権を持ち、セキュリティ上のリスクを最小限に抑えながら職務を遂行できるようにすることです。したがって、候補となるソリューションが、新規ユーザーのオンボーディングを効率的かつ正確に実現し、ユーザーが組織を離れる際には、アカウントを削除または無効化するか、アプリケーション、ファイル共有、データベース、その他のリソースに対するアクセス権限を取り消すことで、アクセス権を迅速に除去できるかどうかを確認してください。

さらに、ユーザーが役割を変更したり、新しい技術が導入されたりする際に、アクセス権を調整することをソリューションが容易にできるかどうかも確認してください。また、適切な関係者が、自分が所有するリソースに対するアクセス権を簡単に見直し、必要に応じて変更できるアテステーション（attestation）プロセスがあるかどうかを探し、安全ポリシーや規制への継続的な準拠を確実にすることが重要です。

ロールベースのアクセス制御

検討中の IAM ソリューションがロールベースのアクセス制御（RBAC）を提供しているかどうか、必ず確認してください。RBAC は広く使われている戦略で、プロビジョニングを大幅にシンプルにし、かつ精度も大きく高めます。RBAC では、アクセス権をユーザーに直接割り当てません。ユーザーへの直接割り当ては複雑で、しばしば過剰な権限につながります。代わりに、職務の機能、責任、または同様のアクセス要件を持つユーザーのグループを表す一連のロールを作成します。ロールの例には Admins、Helpdesk Technicians、Managers などがあります。各ロールには一組の権限が割り当てられます。たとえば Helpdesk Technician のロールは、特定のデータを読み取り、変更し、ユーザーのパスワードをリセットする、といった権限を付与されるかもしれません。

このフレームワークが整っていれば、ユーザーに権限を付与することは、適切なロールを割り当てるだけのシンプルな作業です。その結果、新しいユーザーには、業務を遂行するために必要なアクセス権を迅速かつ正確に付与できます。同様に、ユーザーが組織内で職務機能を変更した場合も、再プロビジョニングはロールの割り当てを変更するだけで済みます。そして、新しいアプリケーションやデータストアが追加される／古いものが削除される際には、関連するロールの権限を更新することで、正しいユーザーすべてのアクセスが確実に最新化されます。

自動化ワークフロー

ワークフローは、IAM システムにおいて、ユーザーのプロビジョニング／デプロビジョニング、アクセス要求と承認、アクセスレビューといったプロセスを自動化できるため、非常に有用です。必要なタスクに対して、あらかじめ用意されたテンプレートや、カスタマイズ可能な事前構築済みワークフローを提供するツールを探してください。たとえば、アクセス要求と承認のワークフローでは、ユーザーがセルフサービスポータルやチケット発行システムを通じてアクセス要求を提出でき、アクセス要件、正当性（理由）、期間を指定するための必須項目を備えたカスタマイズ可能な申請フォームを提供できる場合があります。

さらに広く言えば、管理者がコードを書かずにワークフローのステップ、条件、判断ポイント、アクションを定義できるようにしてください。加えて、ワークフローを HR、チケット管理（チケット発行）やその他のシステムと連携させて、部門をまたぐプロセスを自動化できることも確認しましょう。

Zero Trust 対応

Zero Trust は、初回アクセス時だけでなく、ユーザーに対して定期的に再認証を行うことを求める現代的なセキュリティモデルです。したがって、適応型認証メカニズムを取り入れ、フェデレーション（連携）された identity management を促進する IAM システムを探してください。さらに、管理者やシステムアカウントなど、昇格したアクセス権を持つアカウントを追加的に管理・監視できる privileged access management（PAM）の機能を提供していることも確認してください。

セルフサービス（Self Service）を含むパスワード管理

IAM ソリューションには、堅牢なパスワード管理機能が必要です。評価すべき主な機能は次のとおりです：

強力な password policies を強制できること（複雑性の要件や、よくある・簡単に推測できる・侵害（漏えい）済みのパスワードを禁止することを含む）
禁止されているパスワードの除外リストを維持できること
ユーザーが忘れたパスワードをリセットし、パスワードを変更し、アカウントのロックを解除できるセルフサービス機能
セルフサービスの選択肢が利用できない場合に、ヘルプデスクが支援するパスワードリセットをサポート
MFA ソリューションと連携し、パスワードのリセット、変更、または復旧時に多要素認証を強制
失敗したログイン試行のしきい値を設定し、通知をトリガーすることでブルートフォース攻撃への迅速な対応を可能にする機能

幅広いアプリケーション対応 + API

IAMソリューションに投資する前に、オンプレミス環境とクラウド環境の両方で、さまざまなチームが使用しているすべてのアプリケーションをサポートしていることを確認してください。特に、次との互換性を確保してください：

ユーザー認証のためのディレクトリサービス（Active Directory、LDAP、Azure AD など）
ビジネス生産性ツール
CRM システム
コラボレーション・プラットフォーム
カスタムアプリケーション
AWS、Entra、Google Cloud Platform などのクラウドサービス
Salesforce、Office 365、G Suite のような SaaS アプリケーション

また、IAM ソリューションが REST の原則に準拠した API を提供し、他のシステムやサービスとの容易な統合および相互運用を可能にしていることを確認してください。OAuth、OpenID Connect、SAML、JSON Web Tokens (JWT)、SCIM などの業界標準のプロトコルおよび形式に対応している必要があります。

パスワードレス認証を含む認証方式

単純なユーザー名 + パスワード認証に限定されないソリューションを探してください。一部の IAM ソリューションでは、認証アプリや、指紋・顔認識・網膜スキャンといった生体認証など、10 種以上のさまざまな MFA 方法を提供しています。ユーザーにとって簡単で便利な選択肢があるか確認しましょう。理想的には、MFA は適応型であり、状況（コンテキスト）要因によってリスクの増加が示される場合にのみ、追加の認証をユーザーに求めるべきです。

攻撃者は、侵害された認証情報を使ってネットワーク内に最初の足場を築くことが多いため、一部の組織ではパスワードを完全に廃止しようとしています。現在、いくつかの IAM ソリューションではパスワードレス認証を提供しており、生体認証などの MFA 要素に加えて、物理的な場所、端末情報、IP アドレスといったコンテキスト情報をもとにユーザーを認証します。

シングルサインオン（Single Sign-On：SSO）対応

SSO に対応した IAM ソリューションを選ぶことで、ユーザーは 1 セットのログイン認証情報を使って複数のシステムにアクセスできるようになります。この機能により業務プロセスが効率化され、ユーザーが複数のパスワードを覚える負担も軽減されます。

ただし SSO は不適切なアクセスのリスクを高めるため、MFA に適応型のアプローチを組み合わせられることを必ず確認してください。

BYOD サポート

現在、多くの組織では、従業員が私用の端末を業務に利用できる bring-your-own-device（BYOD）ポリシーを採用しています。BYOD ポリシーがある、または今後導入する可能性がある場合は、IAM ソリューションが iOS、Android、Windows を含む幅広いオペレーティングシステムをサポートしていることを確認してください。

ユーザー体験への影響

現在、多くの人は技術に対して「早くて手間がかからない」結果を期待しています。ユーザーの導入を早めるには、ユーザーにとってシームレスな体験を提供できる IAM ソリューションを探してください。特に、ユーザーが個人情報を更新したり、自分でパスワードをリセットしたり、アカウントのロックを解除したりといったことを行えるセルフサービス機能があるか確認しましょう。この機能は業務の生産性を高めるだけでなく、ヘルプデスクの負荷も軽減します。

可用性と信頼性

IAM ソリューションの可用性に問題がある場合、ユーザーはログオンして業務を行うために必要なネットワークリソースにアクセスできなくなり、重要なビジネスプロジェクトが中断されるおそれがあります。問題を回避するために、以下を確認してください：

継続的な可用性を確保するための冗長構成コンポーネントとフェイルオーバーメカニズムのサポート
ロードバランサーと連携して、受信トラフィックを複数の IAM サーバーまたはインスタンスに分散し、リソース利用を最適化し、パフォーマンスのボトルネックを緩和する
Kubernetes や Docker などのコンテナオーケストレーションプラットフォームを使って IAM コンポーネントをコンテナ化してデプロイできるサポートを提供し、機敏性とリソース利用を向上させる
IAM の設定データ、ユーザープロファイル、アクセスポリシーを定期的にバックアップできることに加え、データ損失やシステム障害が発生した場合に復元できる機能

プロバイダーに製品の無料トライアルを依頼し、信頼性と可用性の要件を満たしていることを確認するために徹底的にテストしてください。

監視、アラート、レポート作成

IAM ソリューションが、活動のリアルタイム監視に加えて、複数回の失敗したログイン試行や、通常でない場所またはデバイスからのアクセスなどの疑わしい行為やパターンを確実に特定できる異常検知手法を提供していることを確認してください。潜在的なセキュリティインシデントやポリシー違反に対してアラートを設定できるかどうかも確認します。ログが、ユーザー識別子、タイムスタンプ、IP アドレス、および実行されたアクションといった重要な詳細を記録できるようにしてください。

ユーザーのエンタイトルメント（権利）、権限、ロール割り当てに関するレポートを簡単に作成できる機能に加え、重要な情報を素早く把握しやすくするインタラクティブな分析ダッシュボードや可視化ツールが用意されているかを確認しましょう。

コンプライアンスの義務および業界要件への準拠

お使いの組織が対象となる、あらゆる規制フレームワークに対して IAM ソリューションが準拠していることを確認してください。たとえば GDPR、HIPPA、PCI DSS、SOX、FERPA、および CCPA などです。一般的な要件には、転送中および保存中の両方における個人データ（ユーザー資格情報を含む）の保護、ならびに IAM システム内の機密データの機密性・完全性・可用性の保護が含まれます。さらに、ソリューションは、強固な認証、アクセス制御、暗号化によってデータへのアクセスを安全に管理する必要があります。コンプライアンス報告や規制当局からの照会を支援するために、IAM ポリシー、手順、構成、およびセキュリティ制御に関する包括的な履歴を維持しなければなりません。

将来のニーズに対応できる能力

IAM ソフトウェアのような中核となるソリューションを導入する際は、IT 環境、セキュリティ要件、そして脅威の状況が変化しても、引き続き価値を提供し続けることを確実にしたいはずです。ソリューションを評価するときに確認すべき重要な質問をいくつか挙げます：

ベンダーは安定していて信頼できますか？
必要な技術的能力を備えていますか？
増え続ける負荷やユーザー数に対応できるよう、より多くのサーバーやノードを簡単に追加してスケールできますか？
ベンダーは製品のライフサイクル全体を通じて優れたサポートを提供する準備ができていますか？
そのソリューションは定期的なパッチや機能強化を受けられますか？
長い目で見て費用対効果は高いですか？

料金モデル

IAM ソリューションにはさまざまな料金体系があります。よくあるモデルは次の 2 つです。

ユーザーごとのライセンス料金 — 実際に貴社で業務を行っているユーザー数に対してのみ支払うため、ユーザーベースが増減すればコストもそれに応じて変動します。ただし、一部のソリューションには最低ユーザー数があることを考慮してください。
事前定義されたパッケージ — 特定のユーザー数分の料金を支払います。この場合は、別のパッケージへのアップグレードに時間がかかる可能性があるため、新入社員に備えて余裕を持たせることを検討してください。

Netwrix が支援できること

Netwrix Directory Manager は、豊富な価値ある機能を提供する先進的な ID およびアクセス管理ソリューションです。

次は、Netwrix Directory Managerを他と際立たせる主な機能です：

シームレスなユーザーオンボーディング — Netwrix Directory Manager は、HR データベースまたはその他のソースから取得した情報をもとに、数分でディレクトリに新しいユーザーを自動プロビジョニングできます。高い信頼性と正確性を実現します。
即時のユーザーオフボーディング — ユーザーが 組織を離れたら、そのユーザーのデータ、アプリケーション、その他の IT リソースへのアクセスをすぐに停止できます。
スマート認証 と SSO — Netwrix Directory Manager は強力な認証を提供し、シングルサインオン（SSO）に対応しています。
セルフサービス — セルフサービスポータルにより、ビジネスユーザーはヘルプデスクに連絡する手間をかけずに、プロフィールを最新の状態に保ち、パスワードをリセットし、アカウントのロックを解除するなど、さまざまな操作を行えます。
非アクティブなアカウントの自動無効化 — ユーザーに対して、一定の間隔でプロフィールを検証することを求められます。検証できなかった場合、Netwrix Directory Manager がアカウントを自動的に無効化し、ロックします。
パスワードの複雑さオプション — Netwrix Directory Manager では、組織に適したレベルでパスワードの複雑さ要件を設定できます。覚えやすいものから、ほとんど思い出せないほどの難易度まで対応します。
詳細レポート — Netwrix Directory Manager には、ユーザー、グループ、コンピューターに関する 100 以上のレポートに加えて、ユーザーのアクティビティに関するさらに多くのレポートが含まれています。
BYOD 対応 — ユーザーは Android や iOS のデバイスを含む自分の端末で、一般的なタスクを実行できます。プロフィールの検証、アカウントの管理、ワークフロー要求の承認など。
スムーズなユーザー体験 — セルフサービスポータルにより、ビジネスユーザーはヘルプデスクに連絡する手間をかけずに、プロフィールを最新の状態に保ったり、パスワードをリセットしたり、アカウントのロックを解除したりなどが可能になります。
高可用性と信頼性 — 無料トライアルで実感してください。
将来のニーズに対応できる力 — Netwrix は、変化するビジネスニーズや新たに出現する脅威に対応するために、ソリューションを常に最新の状態に保ってきた長い実績を持つトップベンダーです。

詳細を確認するか、無料トライアルを開始するには、https://www.netwrix.com/products/directory-manager

共有する

もっと詳しく

著者について

Jonathan Blackwell

ソフトウェア開発責任者

2012年以降、エンジニアでありイノベーターである Jonathan Blackwell は、エンジニアリングのリーダーシップを通じて Netwrix GroupID を、Active Directory および Azure AD 環境におけるグループとユーザー管理の最前線に押し上げてきました。開発、マーケティング、営業での経験により、Jonathan は Identity 市場と買い手の考え方を深く理解できています。

IGAプロジェクトを成功させる方法:ペルソナから始める

They did everything right on identity hygiene. They got breached 4x more often

AI ガバナンス戦略：コンプライアンスの“見せかけ”を超えて

Teams スプロール：Microsoft Teams の増殖を管理する

RBAC と ABAC：主な違い、ユースケース、選び方