Privileged access management（PAM）ソリューションは、ここ数十年にわたりさまざまな形で存在してきました。パスワード・ボールト（password vault）やセッション管理、権限の削減（reduced privilege）、あるいは特権管理のワークフローを組み合わせたものを求めていても、選べるベンダーは不足していません。
では、なぜ PAM というだけで管理者が身震いするのでしょうか？きっと、PAM ソリューションがスムーズに稼働して、管理者であるあなたがその他の業務に集中できる間も、組織のリスクを下げてくれるのなら、それは楽しいはずです。
残念ながら、ほとんどの管理者の実情はそうではありません。PAM のソリューションは不可欠ですが、リスクを減らし、攻撃対象領域（attack surface area）を縮小しようとする組織にとって、PAM が存在する限りずっと悩みの種になっており、問題は時間とともに拡大してきました。
ここでは、PAM について人々が特に嫌がることトップ 5 と、その乗り越え方を紹介します。
1. 複雑さ
ほとんどの PAM ソリューションは、管理者が行う必要のある作業ではなく、強力な資格情報（powerful credentials）へのアクセスを制御することに重点を置いています。その結果、このソリューションは「特権 アカウント の管理ソリューション」のほうが、「特権 アクセス の管理ソリューション」と呼ぶよりも適切です。
多くのソリューションは、パスワード保管庫（password vault）を中心に設計されています。この保管庫は、スーパー ユーザー アカウントと個人の管理者アカウントの両方を制御します。保管庫は「人（people）→アカウント（accounts）」「アカウント→システム（systems）」「システム→アプリケーション」に対応付けます。この多対多（many-to-many）のアプローチは、複雑さとリスクを高めます。さらに、すべての常駐する特権アカウントが依然として存在し、侵害（compromise）され得るため、組織の攻撃対象領域（attack surface area）を減らすことにもつながりません。
それでも十分に複雑だとは言えません。規制やセキュリティのベストプラクティスが進化するにつれて、パスワード保管庫の上に、セッション管理（session management）や最小権限（least privilege）を保証するための機能などがさらに追加されてきました。時間が経つにつれて、こうした段階的な変更が積み重なり、ソリューションは、動く部品が入り組んだ複雑なネットワークになってしまっています。多くの場合、別々の仮想マシンが必要になることさえあり、あるいは別々のハードウェアさえ必要です。
補足レポートを入手する：
2. ライセンス、導入、保守のコストが高い
IT担当者は、ソフトウェア ソリューションの「定価（sticker price）」が唯一の（あるいは最も高額な）費用ではないことを理解しています。従来の PAM ツールでは、席（per-seat）ごとの高額なライセンス費用だけでなく、ハードウェアを準備する（hardware provisioning）ためのコスト、ソフトウェアを監督し稼働し続けさせるために必要な IT の工数、さらにアップデートに伴うコストによって、思わぬ出費を経験してきました。
具体的には、従来型の PAM ソリューションでは、さまざまな PAM サービス（例：特権セッション管理）を別々のマシンにインストールして処理するために、組織が追加のサーバーを立ち上げる必要があることがよくあります。PAM ソフトウェアによってサーバーごとに強制される同時ユーザー（またはセッション）の上限があるため、必要なサーバー数は当初考えていたよりも大幅に多くなる場合があります。
大規模な組織では、複数の管理者が、導入（インストール）の監督、日々のワークフローの管理、トラブルシューティングに時間を割く必要があるかもしれません。管理者が一日中 PAM ソフトウェアの作業に追われてしまうと、他のタスクに集中できなくなり、すべてを稼働させ続けるために、さらに管理者を増やす予算を組まざるを得なくなります。
3. 高額な専門サービスの必要性
従来型の PAM ソリューションのコストは、ライセンス費用、ハードウェア費用、管理費用、アップデート費用だけにとどまりません。多くの場合、これらのソリューションは非常に複雑であるため、導入を支援してくれる専門サービスの費用が必要になり、新しいワークフローの追加、トラブルシューティング、アップデートの支援なども同様に対応してもらうことになります。
たとえば、導入に数か月を費やした後、組織がようやく PAM ソリューションを立ち上げて稼働させたとしても、その後に新しいユースケースが見つかり、さらに別のユースケースが出てきて、また別のユースケースが出てくるかもしれません。これらの新しい要件を PAM ソリューションにどのように統合すればよいかが明確でない場合、そのたびにベンダーから追加の専門サービスの稼働時間（工数）を購入する必要があります。
4. 運用・管理の悩みどころ
従来の Privileged Access Management ソリューションは構成要素が多いため、通常は1人の管理者だけでは、ソリューション全体がどのように動作するかを理解できません。代わりに、Windows、Linux、特定のデータベースなどの特定のユースケースを、それぞれ別の管理者が担当していることがよくあります。その結果、ユーザーがワークフローで問題に遭遇した場合に混乱が生じることがあります。どこで不具合が発生したのか、そして誰が修正すべきなのか？
さらに、従来の Privileged Access Management ソリューションを、IT インフラの他の重要なコンポーネント（たとえば security information and event management（SIEM）ツール）と統合するには、IT チームの膨大な時間と労力がかかることがあります。現在では、このような統合はプラグアンドプレイであるべきです。
5. ソリューションの失敗
複雑になるほど、ソフトウェアが失敗する機会も増えます。時間の経過とともにサービスが互いに積み重ねられていくと、その結果として層状の依存関係が生まれます。すると、シングルな部品が1つ失敗しただけで、全体が崩れ落ちてしまう可能性があります。
従来の PAM（Privileged Access Management）ソリューションでは、パスワード ボールトが、残りのソフトウェアが何十年にもわたって依存してきた中核コンポーネントです。ボールトに何らかのダウンタイムが発生すると、その他のソフトウェアはすべて停止してしまい、管理者が必須のタスクを実行できなくなります。多くの従来型 PAM ソリューションには高可用性のオプションがありますが、通常それらも、製品の他の部分と同様に複雑で実装が難しいのが実情です。
Netwrix Privilege Secure が助けに来る
パスワード ボールトを中心に据えるのではなく、Netwrix Privilege Secure は、日常的な管理者が依存しているワークフローを軸に設計されています。つまり、特定のタスクを完了するために必要なリソースへ特権アクセスを取得することです。それ以外のすべては、モジュール型のマイクロサービスを通じて、そのワークフローを中心に構成されています。セッション管理、監査（audit）、フェデレーション（federation）、アカウント管理、パスワードローテーションなどです。
Just-in-time PAM は攻撃面（attack surface area）を削減します
Netwrix Privilege Secure は、直感的で導入しやすい第三世代テクノロジーを使用して、安全な管理者アクセスを支援します。管理者が、昇格された権限を必要とするタスクを完了する必要がある場合、このソリューションは、タスクに必要な分だけの権限を付与した一時的なジャストインタイムアカウントを生成し、タスクが完了したらすぐに削除します。このアプローチにより、組織はほぼすべての常設の特権アカウントを排除でき、攻撃対象領域を大幅に削減し、複雑なアクセス制御グループを維持するための運用負荷も取り除けます。
さらに、Netwrix Privilege Secure は次も提供します：
- 承認ワークフロー —適応型 Zero Trust のセキュリティアーキテクチャには、多段階の承認機能が含まれており、すべての特権アクセスが承認されていることを保証します。
- 管理者のベストプラクティスのサポート —管理者は、必要なタスクに対してのみ昇格された権限を持つアカウントを使用します。
- 説明責任（Accountability） —誤操作であっても悪意のある行為であっても、不適切な操作を見つけるために、すべての管理者アクティビティを記録し再生できます。
- 柔軟性 —権限は、上で詳述したとおり一時的（エフェメラル）アカウントに動的にプロビジョニングすることも、既存のユーザーまたはサービスアカウントに付与することもできます。
- アーティファクトのクリーンアップ —Kerberos チケットは各セッション終了後に自動的にパージされ、pass-the-hash および Golden Ticket 攻撃のリスクを軽減します。
- リアルタイムのサービスアカウント管理 — 更新やステータスの変更が起きるのをその場で確認し、不要な変更をロールバックするオプション付きで重大な問題についてアラートを受け取れます。
共有する
もっと詳しく
著者について
Dan Piazza
Product Management マネージャー
Dan Piazza は Netwrix の Product Management マネージャーで、複数の Endpoint、DSPM、Directory 製品を担当しています。2013 年以来、技術職として働いており、サイバーセキュリティ、データ保護、自動化、コードへの情熱を持っています。現在の職務に就く以前は、データストレージのソフトウェア企業でプロダクトマネージャーおよびシステムエンジニアとして、ソフトウェアとハードウェアの両方の B2B ソリューションを管理し、導入していました。