ストーリー

アイデンティティ管理の全体像

IAM（Identity and Access Management）の4つの柱

IAM の 4 つの柱:

1. Identity（識別）
   ├── 人間のID: 従業員、顧客、パートナー
   ├── マシンのID: サービス、API、Bot、IoT
   └── ワークロードID: コンテナ、Lambda、CI/CDジョブ

2. Authentication（認証）
   ├── 知識要素: パスワード、PIN
   ├── 所有要素: スマートフォン、セキュリティキー
   └── 生体要素: 指紋、顔認証

3. Authorization（認可）
   ├── RBAC: ロールベースアクセス制御
   ├── ABAC: 属性ベースアクセス制御
   ├── PBAC: ポリシーベースアクセス制御
   └── ReBAC: 関係ベースアクセス制御

4. Governance（ガバナンス）
   ├── プロビジョニング/デプロビジョニング
   ├── アクセスレビュー（定期的な権限棚卸し）
   ├── 特権アクセス管理（PAM）
   └── 監査とコンプライアンス

ゼロトラストアーキテクチャ

従来の境界型セキュリティとの比較

ゼロトラストの原則

アイデンティティプロバイダー（IdP）

主要なIdPの比較

選定基準

IdP 選定フロー:

既存のクラウド環境は？
├── AWS中心 ──→ AWS IAM Identity Center + Auth0/Keycloak
├── Azure中心 ──→ Azure AD（Entra ID）
├── GCP中心 ──→ Google Workspace + Cloud Identity
└── マルチクラウド ──→ Okta / Auth0

アプリケーションの種類は？
├── BtoB SaaS ──→ Auth0 / Okta（テナント管理が充実）
├── 社内システム ──→ Azure AD / Okta
└── BtoC ──→ Auth0 / Cognito（大量ユーザー対応）

コスト感は？
├── 高予算 ──→ Okta / Auth0 Enterprise
├── 中予算 ──→ Auth0 Developer Pro / Azure AD P1
└── 低予算 ──→ Keycloak（OSS）/ AWS IAM Identity Center

ワークロードアイデンティティ

マシンのID管理

SPIFFE（Secure Production Identity Framework for Everyone）

SPIFFE によるワークロードID:

SPIFFE ID 形式:
  spiffe://trust-domain/path

例:
  spiffe://example.com/production/payconnect-api
  spiffe://example.com/staging/payconnect-worker

SVID（SPIFFE Verifiable Identity Document）:
  - X.509 SVID: TLS証明書としてmTLSに使用
  - JWT SVID: Bearer トークンとして使用

利点:
  - プラットフォーム非依存（Kubernetes, VM, ベアメタル）
  - 自動的な証明書ローテーション
  - サービス間の強力な認証（人間の介入なし）

「人間のIDだけ管理していたのは過去の話だ。マイクロサービスのサービス間通信、CI/CDのジョブ、LambdaからS3へのアクセス — すべてにアイデンティティが必要だ」 — 田中VPoE

まとめ

チェックリスト

• IAMの4つの柱を説明できる
• ゼロトラストの原則を理解した
• 主要なIdPの特徴を比較できる
• ワークロードアイデンティティの必要性を理解した

次のステップへ

次は「認証アーキテクチャ」を学びます。OAuth 2.0/OIDC、MFA、パスキー等の認証メカニズムを深く理解しましょう。

推定読了時間: 30分