IdP管理者アカウントが侵害されると全アプリが危険に：6つの保護原則
SSOの統制中枢であるIdP管理者アカウントを、MFA、最小権限、緊急用アカウント、監査ログ、定期レビューで守る実務原則を解説します。
SSOは複数アプリのログインを一つにまとめ、運用負担を軽減します。しかし、その入口を管理するIdP管理者アカウントが侵害されると、攻撃者はメンバーの追加、アプリのアクセス方針の変更、認証設定の改ざんを行える可能性があります。一般ユーザーの侵害が一部屋の鍵を失うことなら、IdP管理者の侵害は建物のマスターキーを失うことに近い問題です。SSO導入は、管理者アカウントを別格の高リスク資産として守って初めて完成します。
1. 管理者ロールを日常業務から分離する
最小権限と個人アカウントを標準にする
すべての運用担当者にオーナー権限を与えず、メンバー管理、アプリ連携、監査閲覧など業務ごとにロールを分けます。管理者アカウントは必ず個人単位で発行し、変更の責任主体を追跡できるようにします。共有アカウントは避けてください。グループとアプリ権限の設計はグループベースのアプリアクセスポリシーも参考になります。
普段のメールや共同作業に使うアカウントで管理操作まで行うと、フィッシングやセッション窃取の影響が拡大します。可能であれば管理専用アカウントを分け、通常の業務アプリにはアクセスさせない運用が有効です。
2. MFAを例外のない入口にする
管理者には初回ログインからMFAを要求し、リセット手順もログインと同じ水準で厳格にします。電話やチャットの依頼だけでMFAを初期化すると、ヘルプデスクが攻撃者の迂回路になりかねません。承認者と実行者を分け、全処理を記録する方法はMFAリセット時のヘルプデスクセキュリティを参照してください。
復旧コードは管理されたパスワード管理ツールなどに保管し、個人文書やチャットには残しません。端末交換や担当者不在を想定した復旧訓練も定期的に実施します。
3. 緊急用アカウントは作成し、通常時は封印する
IdP障害やMFA基盤の問題に備えて緊急用アカウントを用意できます。ただし、日常の管理者と同様に使えば、新たな迂回経路になります。強固で独立した認証情報、限定された保管者、使用時の即時通知、事後のパスワード変更とレビューを一つの手順にまとめます。詳しい運用方法はSSO障害に備える緊急用アカウントガイドをご覧ください。
4. 重要な変更を記録し、すぐ確認する
管理者ログインの失敗、管理者ロールの付与・解除、OIDC・SAMLアプリ設定の変更、SCIMトークンの発行、MFAの初期化は優先監視項目です。監査ログには、誰が、いつ、どのテナントで、何を変更したかを残します。一方、シークレットやトークンの平文は記録してはいけません。
残存権限を定期的に点検する
月次または四半期ごとに管理者一覧、最終利用日時、担当業務を照合します。退職、異動、長期未使用のアカウントはすぐに権限を解除し、例外には所有者と有効期限を設定します。このレビュー記録は、セキュリティ審査で統制が実際に機能していることを説明する資料になります。
AxiPassでテナントごとの統制点を一元化
AxiPassはSaaS企業向けのマルチテナントIdPとして、OIDC・SAML SSO、SCIMプロビジョニング、MFA、非SSOアプリ向けSWA、監査ログを統合します。顧客企業ごとの境界を維持しながら、管理者とメンバーの認証、アプリアクセス、変更履歴を一貫した流れで運用できます。