IDガバナンスと特権アクセス

申請と承認

申請にはテナント、リソース、ロールまたはエンタイトルメント、理由、有効期間を指定します。作成と承認は別の処理です。必要な場合は自己承認やテナントをまたぐ対象指定が拒否されます。却下または期限切れの申請からアクセス権は付与されません。承認者は非公式な連絡ではなく、記録された必要性とポリシー判定に基づいて判断してください。

1. 対象リソースを正確に指定し、理由と終了日を入力します。
2. 権限のある独立した承認者に回し、判断が記録されたことを確認します。
3. 作業終了後にアクセスを失効させ、割り当てが無効になったことを確認します。

エンタイトルメントとパッケージ

カタログとパッケージは、バージョン管理された下書き、公開、ロールバックに対応します。ロールバックは新しいバージョンとして作成します。ユーザーまたはグループへの割り当てには、有効期限や独立した判断が必要な場合があります。レガシーモードや割り当て専用モードには、公開済みのアプリケーションポリシーが適用されます。パッケージでテナント境界や職務分掌ルールを上書きすることはできません。

1. 編集前に、パッケージの内容、所有者、対象アプリケーションを確認します。
2. レビュー済みのバージョンを検証して公開し、有効になったことを確認します。
3. 理由と有効期限を指定して割り当てを申請し、処理後の状態を確認します。

ロール階層と職務分掌

ロール階層と職務分掌（SoD）ポリシーにより、同時に付与できるアクセスの組み合わせが制限されます。ポリシーはシミュレーションしてバージョン管理してください。例外には別途申請、独立した承認、失効が必要です。親ロールの変更は子孫ロールにも影響する場合があります。競合を回避するためにロールを広げず、例外は狭い範囲と期間に限定してください。

1. 現在のテナントポリシーに対し、提案するロールの組み合わせをシミュレーションします。
2. レビュー済みポリシーを公開し、想定した競合が検出されることを確認します。
3. 理由と期間を付けて例外を申請し、不要になった時点で失効させます。

アクセスレビューとキャンペーン

アクセスレビューでは、メンバーシップと割り当てを認定します。キャンペーンでは、対象者、レビュー担当者、期限を定め、各項目を判断します。判断と、その後の失効は別々の状態です。期限超過の作業はキャンペーンの状態から追跡してください。応答がないことは承認を意味しません。

1. 責任を持つレビュー担当者と期限を指定して、テナントのキャンペーンを作成します。
2. 現在の必要性に基づいて各項目を認定または失効し、理由を記録します。
3. 完了状況を確認し、割り当て自体に是正が反映されたことを検証します。

PIM、ステップアップ認証、緊急アクセス

PIMの対象資格があっても、特権が有効とは限りません。有効化には理由、期間、承認、ユーザー本人に紐付く直近の認証またはフィッシング耐性のあるステップアップ認証が必要な場合があります。保護チェックを維持してください。緊急アクセスには専用のチャレンジと監査証跡があり、ロールや認証要素の不足を日常的に回避する方法ではありません。

1. 有効化の資格、認証要素、許可される期間を確認します。
2. 正規のステップアップ認証を完了し、ロールと有効期限を確認します。
3. アクセスを終了または期限切れにし、特権セッションと監査状態を確認します。

ワークフローと証跡

ライフサイクルワークフローでは、トリガー、アクション、バージョン、承認、段階的リリース、ロールバック、実行状況の監視を扱います。利用可能な場合は検証とドライランを実施してください。権限に応じて、実行の一時停止、再開、キャンセル、再実行、承認が可能です。監査エクスポート、保持設定、法的保全に従って証跡を管理し、ワークフローを修正しても履歴を保持してください。

1. トリガーとアクションを検証し、ドライランで影響を確認します。
2. 承認を申請し、対象のバージョンを段階的に公開します。
3. 実行状態を監視し、重複処理の影響を確認してから再実行します。

よくある質問

関連ページ

• シングルサインオンとID管理
• フェデレーションプロトコルとプロビジョニング
• SSO管理
• プライベートアプリケーションアクセス