アカウントのライフサイクル

入社で作り（プロビジョニング）、異動で権限を見直し、退職で止めて消します（デプロビジョニング）。定期的に権限を見直す作業を、権限の棚卸し（アクセスレビュー）と呼びます。

多要素認証（MFA）

知っているもの（パスワード）、持っているもの（スマートフォン、セキュリティキー）、本人の体（指紋、顔）のうち、違う種類を2つ以上組み合わせます。パスワードと秘密の質問は、どちらも知っているものなので多要素ではありません。

SSO とフェデレーション

1回のログインで複数のサービスを使えるのがシングルサインオン（SSO）です。会社の外のサービスとつなぐときは、SAML や OpenID Connect でフェデレーション（Federation）を組みます。OAuth は認可（何をしてよいか）を渡す仕組みです。社内のディレクトリは LDAP で問い合わせます。

アクセス制御モデル

• 任意（DAC） … 持ち主が決める
• 強制（MAC） … ラベル（機密区分）で決める
• ロールベース（RBAC） … 役割で決める
• 属性ベース（ABAC） … 属性（部署、時刻、場所）で決める
• ルールベース … 決めたルールで決める

特権アクセス管理（PAM）

管理者の権限は、必要なときだけ一時的に与え（ジャストインタイム）、パスワードは金庫（Vault）で管理し、作業を記録します。

• アカウントの作成から削除までと、権限の棚卸し
• 多要素認証の要素の数え方
• SSO・フェデレーション・SAML・OAuth・OpenID Connect
• アクセス制御モデルと、特権アクセス管理