休眠アカウントをSaaSセキュリティの死角にしないアクセス管理
長期間使われていないSaaSアカウントを特定し、SSO・SCIM・MFA・監査ログで確認から停止、失効まで運用する方法を解説します。
退職者のアカウントを削除する手順は比較的明確です。一方、見落としやすいのが、在籍中でも数か月使われていない休眠アカウントです。プロジェクトの終了、異動、業務委託契約の終了後もアカウントと権限が残れば、攻撃者にとって発見されにくい古い入口になり得ます。
近年のIAMは、ログイン時の認証だけでなく、認証後もそのアカウントと権限が必要かを継続的に確認する方向へ広がっています。休眠アカウント管理は単なる整理ではなく、最小権限とアクセスレビューを実際の運用につなげる取り組みです。
まず組織として「休眠」を定義する
すべてのアプリに一律90日という基準を当てはめると、業務特性を見落とします。毎日使うコラボレーションツールと、四半期ごとに使う会計システムでは正常な利用周期が異なります。アプリの機密性、担当業務、最終ログイン、直近の権限変更を組み合わせて基準を分けましょう。
• 高権限の管理者アカウント：短い周期で確認し、未使用の理由を確認 • 一般業務アカウント：アプリごとの利用周期を考慮して一時停止候補に分類 • 緊急用アカウント：利用頻度ではなく、保管・点検手順で別管理
緊急用アカウントを通常の休眠アカウントとして自動停止すると、障害復旧ができなくなる恐れがあります。分離の考え方はSSO緊急用アカウント運用ガイドを参考にしてください。
削除より「確認・停止・失効」の順が安全
休眠判定だけで直ちに削除すると、長期プロジェクトや法的な保存対象まで失う可能性があります。次の順序なら、業務停止と残存権限のリスクを抑えられます。
- 監査ログで最終ログインと最近の管理操作を確認します。
- アカウント所有者と管理者が維持理由を承認します。
- 応答がない、または理由が失われたアカウントを一時停止し、セッションを終了します。
- 猶予期間後にグループ権限とアプリアカウントを失効し、処理記録を残します。
SCIMとグループポリシーで失効漏れを減らす
IdP上のユーザー状態だけを変更し、接続先SaaSのアカウントが残れば統制は完了しません。SCIM対応アプリには停止・削除を反映し、グループベースのアプリポリシーで異動後の不要なアクセスを外します。自動失効はSCIMによる退職者アカウントの自動失効、定期確認はSaaSアクセス権レビューのチェックリストで解説しています。
SSO非対応アプリも同じ一覧で管理する
休眠ポリシーをSSO対応アプリだけに適用すると、死角は古いWebアプリへ移ります。OIDC・SAMLだけでなく、SSO非対応でSWA接続したアプリも、所有者、グループ、最終利用、失効状態を同じ確認範囲に含めましょう。再有効化ではパスワードを戻すだけでなく、管理者の承認とMFA確認を行い、誰がいつアクセスを復旧したかを監査ログに残します。
AxiPassは顧客ごとのテナントで、OIDC/SAML SSO、SCIMプロビジョニング、MFA、グループベースのアプリアクセスポリシー、監査ログ、SWA接続を一元管理できるよう支援します。分散したアカウントを中央のライフサイクルポリシーにまとめ、使われていないアクセス権が静かに積み上がるのを防ぎましょう。